ОПЕРАЦИОННАЯ СИСТЕМА АЛЬТ РАБОЧАЯ СТАНЦИЯ 9.2
Описание функциональных характеристик
Содержание
1 Общие сведения об ОС Альт Рабочая станция 9.2 .............................................................. 4
1.1 Краткое описание возможностей .................................................................................. 4
1.2 Структура программных средств .................................................................................. 5
2 Загрузка операционной системы ........................................................................................... 7
2.1 Настройка загрузки ......................................................................................................... 7
2.2 Получение доступа к зашифрованным разделам ......................................................... 9
2.3 Вход и работа в системе в консольном режиме ......................................................... 10
2.4 Виртуальная консоль .................................................................................................... 10
2.5 Вход и работа в системе в графическом режиме ....................................................... 10
2.6 Рабочий стол MATE ..................................................................................................... 11
2.7 Блокирование сеанса доступа ...................................................................................... 17
2.8 Завершение сеанса пользователя ................................................................................. 19
2.9 Выключение/перезагрузка компьютера ...................................................................... 20
3 Обзор приложений для рабочей станции ........................................................................... 23
3.1 Веб-навигация ............................................................................................................... 23
3.2 Электронная почта ........................................................................................................ 24
3.3 Обмен мгновенными сообщениями ............................................................................ 28
3.4 Офисные приложения ................................................................................................... 30
3.5 Файловые менеджеры ................................................................................................... 32
3.6 Графика .......................................................................................................................... 37
3.7 Менеджер архивов Engrampa ....................................................................................... 39
3.8 Системный монитор ..................................................................................................... 43
3.9 Центр приложений ........................................................................................................ 46
3.10 Recoll – полнотекстовый поиск ................................................................................... 49
4 Настройка системы ............................................................................................................... 56
2
4.1 Центр управления системой......................................................................................... 56
4.2 Выбор программ, запускаемых автоматически при входе в систему ...................... 60
4.3 Настройка сети .............................................................................................................. 63
4.4 Установка принтера ...................................................................................................... 66
4.5 Настройка загрузчика GRUB2 ..................................................................................... 69
4.6 Ввод рабочей станции в домен Active Directory ........................................................ 72
4.7 Групповые политики .................................................................................................... 79
4.8 Ввод рабочей станции в домен FreeIPA...................................................................... 85
5 Средства удаленного администрирования ......................................................................... 92
5.1 Вход в систему .............................................................................................................. 92
5.2 Развѐртывание офисной ИТ-инфраструктуры ........................................................... 92
5.3 Централизованная база пользователей ....................................................................... 93
5.4 Настройка подключения к Интернету ........................................................................ 97
5.5 Развертывание доменной структуры ......................................................................... 108
5.6 Сетевая установка операционной системы на рабочие места ................................ 109
5.7 Соединение удалѐнных офисов (OpenVPN-сервер) ................................................ 111
5.8 Доступ к службам из сети Интернет ......................................................................... 117
5.9 Статистика ................................................................................................................... 119
5.10 Обслуживание рабочей станции ................................................................................ 121
5.11 Прочие возможности ЦУС ......................................................................................... 137
5.12 Права доступа к модулям ЦУС .................................................................................. 138
6 Функционал операционной системы ................................................................................ 140
6.1 ГОСТ в OpenSSL ......................................................................................................... 140
6.2 Задание хешей паролей в соответствии с ГОСТ Р 34.11-2012 ............................... 141
6.3 Подпись и проверка ЭЦП ГОСТ ............................................................................... 142
6.4 Управление шифрованными разделами ................................................................... 147
6.5 Создание ssh-туннелей, использующих контроль целостности заголовков IP-
пакетов в соответствии с ГОСТ Р 34.12-2015................................................................................... 150
3
6.6 Создание защищенных VPN-туннелей, использующих контроль заголовков
IP-пакетов в соответствии с ГОСТ Р 34.12-2015 .............................................................................. 151
6.7 Поддержка файловых систем ..................................................................................... 159
6.8 Поддержка сетевых протоколов ................................................................................ 160
6.9 Виртуальная (экранная) клавиатура .......................................................................... 171
6.10 Настройка многоместного режима ............................................................................ 174
7 Ограничение действий пользователя ................................................................................ 178
7.1 Ограничение полномочий пользователей ................................................................ 178
7.2 Блокировка макросов в приложениях ....................................................................... 180
7.3 Модуль AltHa .............................................................................................................. 181
8 Установка/обновление программного обеспечения ........................................................ 186
8.1 Установка/обновление программного обеспечения в графической среде ............ 186
8.2 Обновление системы .................................................................................................. 188
8.3 Установка/обновление программного обеспечения в консоли .............................. 192
8.4 Единая команда управления пакетами (epm) ........................................................... 200
9 Общие принципы работы ОС ............................................................................................ 202
9.1 Процессы и файлы ...................................................................................................... 202
10 Работа с наиболее часто используемыми компонентами ............................................... 209
10.1 Командные оболочки (интерпретаторы) .................................................................. 209
10.2 Стыкование команд в системе ................................................................................... 219
11 Общие правила эксплуатации ............................................................................................ 222
11.1 Включение компьютера ............................................................................................. 222
11.2 Выключение компьютера ........................................................................................... 222
4
1 ОБЩИЕ СВЕДЕНИЯ ОБ ОС АЛЬТ РАБОЧАЯ СТАНЦИЯ 9.2
1.1 Краткое описание возможностей
Операционная система «Альт Рабочая станция» (далее – ОС «Альт Рабочая станция»),
представляет собой совокупность интегрированных программ, созданных на основе ОС «Linux», и
обеспечивает обработку, хранение и передачу информации в круглосуточном режиме
эксплуатации.
ОС «Альт Рабочая станция» обладает следующими функциональными характеристиками:
обеспечивает возможность обработки, хранения и передачи информации;
обеспечивает возможность функционирования в многозадачном режиме (одновременное
выполнение множества процессов);
обеспечивает возможность масштабирования системы: возможна эксплуатация ОС как на
одной ПЭВМ, так и в информационных системах различной архитектуры;
обеспечивает многопользовательский режим эксплуатации;
обеспечивает поддержку мультипроцессорных систем;
обеспечивает поддержку виртуальной памяти;
обеспечивает поддержку запуска виртуальных машин;
обеспечивает сетевую обработку данных, в том числе разграничение доступа к сетевым па-
кетам.
ОС «Альт Рабочая станция» – это комплекс необходимых программ для эффективного
выполнения типовых задач: электронная почта, работа с документами и презентациями,
прослушивание аудиофайлов и просмотр видео, работа в сети Интернет и многое другое.
Основные преимущества ОС «Альт Рабочая станция»:
русскоязычный пользовательский интерфейс;
графическая рабочая среда MATE;
выбор разворачиваемых решений (например, виртуализация, мультимедиа приложения) на
этапе установки;
возможность как развернуть, так и использовать только определѐнные службы без Alterator;
широкий выбор различных программ для профессиональной и домашней работы в сети Ин-
тернет, с документами, со сложной графикой и анимацией, для обработки звука и видео,
разработки программного обеспечения и образования;
подробная иллюстрированная документация.
5
1.2 Структура программных средств
ОС «Альт Рабочая станция» состоит из набора компонентов предназначенных для реализа-
ции функциональных задач необходимых пользователям (должностным лицам для выполнения
определѐнных должностными инструкциями, повседневных действий) и поставляется в виде дис-
трибутива и комплекта эксплуатационной документации.
В структуре ОС «Альт Рабочая станция» можно выделить следующие функциональные
элементы:
ядро ОС;
системные библиотеки;
утилиты и драйверы;
средства обеспечения информационной безопасности;
системные приложения;
средства обеспечения облачных и распределенных вычислений, средства виртуализации и
системы хранения данных;
системы мониторинга и управления;
средства подготовки исполнимого кода;
средства версионного контроля исходного кода;
библиотеки подпрограмм (SDK);
среды разработки, тестирования и отладки;
интерактивные рабочие среды;
графическая оболочка MATE;
командные интерпретаторы;
прочие системные приложения;
прикладное программное обеспечение общего назначения;
офисные приложения.
Ядро ОС «Альт Рабочая станция» управляет доступом к оперативной памяти, сети,
дисковым и прочим внешним устройствам. Оно запускает и регистрирует процессы, управляет
разделением времени между ними, реализует разграничение прав и определяет политику
безопасности, обойти которую, не обращаясь к нему, нельзя.
Ядро работает в режиме «супервизора», позволяющем ему иметь доступ сразу ко всей
оперативной памяти и аппаратной таблице задач. Процессы запускаются в «режиме
пользователя»: каждый жестко привязан ядром к одной записи таблицы задач, в которой, в числе
прочих данных, указано, к какой именно части оперативной памяти этот процесс имеет доступ.
6
Ядро постоянно находится в памяти, выполняя системные вызовы – запросы от процессов на
выполнение этих подпрограмм.
Системные библиотеки – наборы программ (пакетов программ), выполняющие различные
функциональные задачи и предназначенные для динамического подключения к работающим
программам, которым необходимо выполнение этих задач.
7
2 ЗАГРУЗКА ОПЕРАЦИОННОЙ СИСТЕМЫ
2.1 Настройка загрузки
Вызов ОС «Альт Рабочая станция», установленной на жесткий диск, происходит
автоматически и выполняется после запуска ПЭВМ и отработки набора программ BIOS.
ОС «Альт Рабочая станция» вызывает специальный загрузчик.
Загрузчик настраивается автоматически и включает в свое меню все системы, установку
которых на ПЭВМ он определил. Поэтому загрузчик также может использоваться для вызова
других ОС, если они установлены на компьютере.
П р и м е ч а н и е . При наличии на компьютере нескольких ОС (или при наличии
нескольких вариантов загрузки), оператор будет иметь возможность выбрать необходимую ОС
(вариант загрузки). В случае если пользователем ни один вариант не был выбран, то по истечении
заданного времени будет загружена ОС (вариант загрузки), заданные по умолчанию.
При стандартной установке ОС «Альт Рабочая станция» в начальном меню загрузчика
доступны несколько вариантов загрузки (Рис. 1): обычная загрузка, загрузка с дополнительными
параметрами (например, «recovery mode» – загрузка с минимальным количеством драйверов),
загрузка в программу проверки оперативной памяти (memtest).
8
Варианты загрузки
Рис. 1
По умолчанию, если не были нажаты управляющие клавиши на клавиатуре,
загрузка ОС «Альт Рабочая станция» продолжится автоматически после небольшого времени
ожидания (обычно несколько секунд). Нажав клавишу <Enter>, можно начать загрузку
немедленно.
Для выбора дополнительных параметров загрузки нужно выбрать пункт «Дополнительные
параметры для ALT Workstation».
Для выполнения тестирования оперативной памяти нужно выбрать пункт «Memtest86+-
5.01».
Нажатием клавиши <E> можно вызвать редактор параметров загрузчика GRUB и указать
параметры, которые будут переданы ядру ОС при загрузке.
П р и м е ч а н и е . Если при установке системы был установлен пароль на загрузчик, по-
требуется ввести имя пользователя «boot» и заданный на шаге «Установка загрузчика» пароль.
Загрузка операционной системы может занять некоторое время, в зависимости от
производительности компьютера. Основные этапы загрузки операционной системы – загрузка
ядра, подключение (монтирование) файловых систем, запуск системных служб – периодически
9
могут дополняться проверкой файловых систем на наличие ошибок. В этом случае время
ожидания может занять больше времени, чем обычно. Подробную информацию о шагах загрузки
можно получить, нажав клавишу <Esc>.
2.2 Получение доступа к зашифрованным разделам
В случае если был создан шифрованный раздел, потребуется вводить пароль при обраще-
нии к этому разделу (Рис. 2).
Получение доступа к зашифрованным разделам
Рис. 2
Например, если был зашифрован домашний раздел /home, то для того, чтобы войти в
систему, потребуется ввести пароль этого раздела и затем нажать <Enter>.
Если не ввести пароль за отведенный промежуток времени, то загрузка системы завершится
ошибкой. В этом случае следует перезагрузить систему, нажав для этого два раза <Enter>, а затем
клавиши <Ctrl>+<Alt>+<Delete>.
10
2.3 Вход и работа в системе в консольном режиме
При загрузке в консольном режиме работа загрузчика ОС «Альт Рабочая станция»
завершается запросом на ввод логина и пароля учетной записи (Рис. 3). В случае необходимости
на другую консоль можно перейти, нажав <Ctrl>+<Alt>+<F2>.
Для дальнейшего входа в систему необходимо ввести логин и пароль учетной записи
пользователя.
В случае успешного прохождения процедуры аутентификации и идентификации будет
выполнен вход в систему. ОС «Альт Рабочая станция» перейдет к штатному режиму работы и
предоставит дальнейший доступ к консоли (Рис. 4).
Запрос на ввод логина
Рис. 3
Приглашение для ввода команд
Рис. 4
2.4 Виртуальная консоль
В процессе работы ОС «Альт Рабочая станция» активно несколько виртуальных консолей.
Каждая виртуальная консоль доступна по одновременному нажатию клавиш <Ctrl>, <Alt> и
функциональной клавиши с номером этой консоли от <F2> до <F6>.
На первых пяти виртуальных консолях (от <Ctrl>+<Alt>+<F2> до <Ctrl>+<Alt>+<F6>)
пользователь может зарегистрироваться и работать в текстовом режиме. Двенадцатая виртуальная
консоль (<Ctrl>+<Alt>+<F12>) выполняет функцию системной консоли – на нее выводятся
сообщения о происходящих в системе событиях.
2.5 Вход и работа в системе в графическом режиме
Стандартная установка ОС «Альт Рабочая станция» включает графическую оболочку
MATE. Графическая оболочка состоит из набора различных программ и технологий,
используемых для управления ОС и предоставляющих пользователю удобный графический
интерфейс для работы в виде графических оболочек и оконных менеджеров.
При загрузке в графическом режиме работа загрузчика ОС заканчивается переходом к окну
входа в систему (Рис. 5), в котором необходимо выбрать логин учетной записи пользователя из
выпадающего списка и ввести пароль, соответствующий этой учетной записи, затем нажать
<Enter> или нажать кнопку «Войти».
11
Окно входа в систему
Рис. 5
В результате успешного прохождения процедуры аутентификации и идентификации будет
выполнен вход в систему. ОС «Альт Рабочая станция» перейдет к штатному режиму работы и
предоставит дальнейший доступ к графическому интерфейсу.
П р и м е ч а н и е . Поскольку работа в системе с использованием учѐтной записи
администратора системы небезопасна, вход в систему в графическом режиме для
суперпользователя root запрещѐн. Попытка зарегистрироваться в системе будет прервана
сообщением об ошибке.
2.6 Рабочий стол MATE
На Рис. 6 показан графический стол MATE.
12
Рабочий стол MATE
Рис. 6
На рабочем столе MATE есть две особые области:
область рабочего стола (рабочая площадь в центре, занимающая большую часть экрана);
панель MATE (серая полоса внизу экрана).
Область рабочего стола включает в себя значки:
«Компьютер» – предоставляет доступ к устройствам хранения данных;
«Домашняя папка пользователя» – предоставляет доступ к домашнему каталогу пользова-
теля /home/<имя пользователя>. В этой папке по умолчанию хранятся пользователь-
ские файлы (например, аудиозаписи, видеозаписи, документы). У каждого пользователя
своя «Домашняя» папка. Каждый пользователь имеет доступ только в свою «Домашнюю»
папку;
«О системе» – предоставляет доступ к документации;
«Корзина» – доступ к «удаленным файлам». Обычно, при удалении файла, он не удаляется
из системы. Вместо этого он помещается в «Корзину». С помощью этого значка можно
просмотреть или восстановить «удаленные файлы». Чтобы удалить файл из системы, нуж-
но очистить «Корзину». Чтобы очистить «Корзину», необходимо щелкнуть правой кнопкой
13
мыши по значку «Корзина» и выбрать в контекстном меню пункт «Очистить корзину».
Можно сразу удалить файл из системы, минуя корзину. Для этого необходимо одновремен-
но с удалением файла зажать клавишу <Shift>.
На область рабочего стола можно перетащить файлы и создать ярлыки программ с
помощью меню правой кнопки мыши.
Щелчок правой кнопкой мыши на свободной области рабочего стола открывает
контекстное меню рабочего стола, где можно, например, настроить фон рабочего стола (пункт
«Параметры внешнего вида»).
Панель MATE (Рис. 7) расположена в нижней части экрана. Панель MATE универсальна:
она может содержать значки загрузчика, панели задач, переключатель окон или любое другое
сочетание; и еѐ можно удобно настроить. Для того чтобы увидеть возможные варианты настройки,
необходимо щелчком правой кнопки мыши вызвать контекстное меню и переместить, удалить или
изменить содержание панели по форме и существу.
Панель MATE со списком окон
Рис. 7
На левой части панели расположены:
основное меню – «Меню MATE», обеспечивающее доступ ко всем графическим приложе-
ниями и изменениям настроек;
кнопка «Свернуть все окна» – кнопка позволяет свернуть (развернуть) все открытые окна
на текущем рабочем месте;
«Переключатель рабочих мест» – это группа квадратов в правом нижнем углу экрана. Они
позволяют переключать рабочие места. Каждое рабочее место предоставляет отдельный
рабочий стол, на котором можно расположить приложения. По умолчанию активно два ра-
бочих места. Можно изменить это число, нажав правой кнопкой мыши на «переключателе
рабочих мест» и выбрав в контекстном меню пункт «Настройка». Для переключения между
рабочими столами необходимо использовать комбинацию клавиш <Ctrl>+<Alt>+<←> или
<Ctrl>+<Alt>+<→>.
Любые открытые приложения отображаются как кнопки в средней части окна. Тут отобра-
жаются все окна с области рабочего стола вне зависимости от того, видно окно или нет. Кнопка
скрытого окна будет отображаться с белым фоном. Кнопка приложения, которое выбрано в дан-
ный момент, будет с серым фоном. Чтобы переключаться между приложениями с помощью мы-
ши, необходимо кликнуть по желаемому приложению левой кнопкой мыши, чтобы переключиться
на него. Для переключения между открытыми окнами можно использовать комбинацию
клавиш<Alt>+<Tab>.
14
На правой части панели находятся:
область уведомлений;
регулятор громкости и апплет настройки звука;
приложение «Сетевые соединения»;
часы и календарь;
параметры клавиатуры;
параметры управления питанием.
В левой части панели MATE находится «Меню MATE». Через «Меню MATE» (Рис. 8)
осуществляется запуск всех приложений, установленных на компьютер.
Меню MATE
Рис. 8
Левая часть меню включает раздел «Места» и раздел «Система». Правая часть может иметь
вид избранных приложений (Рис. 8) или всех доступных программ (Рис. 9).
Раздел «Места» содержит пять кнопок, обеспечивающих быстрый доступ к наиболее важ-
ным местам ОС:
«Мой компьютер» – позволяет увидеть все файлы в компьютере и файлы на подключѐнных
внешних носителях;
15
«Домашний каталог» – в этой папке по умолчанию хранятся личные файлы пользователя;
«Сеть» – позволяет просматривать сетевые подключения компьютера. Осуществляет полу-
чение доступа к файлам и другим ресурсам, доступным в этих сетях;
«Рабочий стол» – папка внутри «Домашней папки», содержащая файлы и папки, отобража-
емые на рабочем столе;
«Корзина» – позволяет получить доступ к «удаленным файлам».
Щелчок по любому пункту в подменю «Места» открывает файловый менеджер Caja.
Руководство Caja можно вызвать, выбрав меню «Справка» →«Содержание».
Раздел «Приложения»
Рис. 9
В разделе «Система» находятся кнопки, предоставляющие быстрый доступ к важным
функциям системы:
«Менеджер пакетов» – запускает программу для централизованного управления программ-
ным обеспечением;
«Центр управления» – запускает приложение, позволяющее настроить все аспекты рабоче-
го окружения MATE;
16
«Терминал» – запускает приложение «Терминал», которое позволяет вводить команды
непосредственно с клавиатуры;
«Заблокировать экран» – блокирует сеанс доступа пользователя;
«Завершить сеанс» – запускает диалог, который позволяет завершить сеанс или переклю-
чить пользователя;
«Выйти» – выводит диалоговое окно, который позволяет перезагрузить или выключить
компьютер.
Установленные приложения доступны в следующих пунктах раздела «Приложения»
(Рис. 9):
«Все» – показывает полный список установленных приложений;
«Аудио и видео»;
«Графика»;
«Интернет»;
«Образовательные»;
«Офис»;
«Системные»;
«Стандартные»;
«Администрирование» – содержит инструменты позволяющие администрировать систему;
«Параметры» – содержит инструменты позволяющие конфигурировать систему.
Этот список обновляется при установке или удалении программ.
П р и м е ч а н и е . Если компьютер запрашивает пароль администратора (root), то это значит,
что будут производиться важные системные настройки. Следует быть предельно внимательным к
выводимым сообщениям.
Поле «Поиск» позволяет быстро запустить нужное приложение. Для этого достаточно при-
ступить к вводу названия или описания искомого приложения, по мере ввода символлов, в меню
остаются видны только те приложения, которые соответствуют запросу. Если объект поиска отс-
тутствует в меню, функция «Поиск» «предложит» другие возможные действия, например поиск в
файлах ОС или поисковой системе.
Раздел «Избранное» позволяет получить быстрый доступ к выбранным приложениям. Для
добавления приложения в раздел «Избранное» нужно в контекстном меню нужного приложения
выбрать пункт «Отображать в избранном». Также можно перетащить иконку приложения на кноп-
ку «Избранное», находящуюся в верхнем правом углу меню.
17
Порядок отображения приложений в разделе «Избранное» можно настраивать. Перетаски-
вание позволяет изменить взаимное расположение, а нажатие правой клавиши мыши позволяет
как добавить, так и удалить элементы раздела «Избранное» (в том числе отступы и разделители).
2.7 Блокирование сеанса доступа
2.7.1 Блокирование сеанса доступа после установленного времени бездействия пользователя или
по его запросу
После авторизации и загрузки графической рабочей среды MATE, пользователю
предоставляется рабочий стол для работы с графическими приложениями.
Если пользователь оставляет свой компьютер на короткое время, он должен заблокировать
свой экран, чтобы другие пользователи не могли получить доступ к его файлам или работающим
приложениям.
Заблокировать сеанс доступа можно по запросу пользователя, выбрав пункт «Меню
MATE» → «Система» → «Заблокировать экран» (Рис. 10).
Блокирование сеанса доступа
Рис. 10
Для разблокировки требуется ввести пароль пользователя и нажать кнопку
«Разблокировать» (Рис. 11).
18
Разблокирование сеанса доступа
Рис. 11
При заблокированном экране другие пользователи могут входить в систему под своими
учѐтными записями, нажав на экране ввода пароля кнопку «Переключить пользователя».
Также при работе в графическом режиме блокирование сеанса доступа происходит после
установленного времени бездействия (по умолчанию 5 минут) посредством срабатывания
программы – хранителя экрана (screensaver).
Время бездействия системы устанавливается в диалоговом окне «Параметры хранителя
экрана», вызываемом из меню «Меню MATE»→ «Приложения»→ «Параметры»→ «Хранитель
экрана».
2.7.2 Блокировка виртуальных текстовых консолей
Программа vlock позволяет заблокировать сеанс при работе в консоли.
П р и м е ч а н и е . Должен быть установлен пакет vlock:
# apt-get install vlock
Выполнение команды vlock без дополнительных параметров заблокирует текущий сеанс
виртуальной консоли, без прерывания доступа других пользователей:
$ vlock
Блокировка tty2 установлена user.
Используйте Alt-функциональные клавиши для перехода в другие
виртуальные консоли.
Пароль:
Чтобы предотвратить доступ ко всем виртуальным консолям машины, следует выполнить
команду:
$ vlock -a
19
Теперь вывод на консоль полностью заблокирован user.
Пароль:
В этом случае vlock блокирует текущую активную консоль, а параметр «-a»
предотвращает переключение в другие виртуальные консоли.
2.8 Завершение сеанса пользователя
2.8.1 Графический режим
Для завершения сеанса пользователя в графическом режиме следует в «Меню MATE» в
разделе «Система» выбрать пункт «Завершить сеанс» (Рис. 12).
Завершение сеанса пользователя
Рис. 12
Далее откроется окно, в котором предоставляется выбор дальнейших действий (Рис. 13):
«Переключить пользователя» – сеанс пользователя в графическом режиме блокируется,
другой пользователь может войти в систему под своим именем;
«Завершить сеанс» – выполняется завершение сеанса пользователя в графическом режиме.
20
Окно выхода из системы
Рис. 13
2.8.2 Консольный режим
Завершить сеанс пользователя в консольном режиме можно, выполнив команду exit:
$ exit
host-15 login:
2.8.3 Настройки завершения сеанса пользователя
Для каждого пользователя можно настроить автоматическое завершение сеанса, после
установленного времени бездействия (неактивности) пользователя. Для этого необходимо создать
файл /etc/logout, в который поместить допустимое время простоя для каждого пользователя,
например:
user1 300
user2 200
Формат файла /etc/logout:
<пользователь> <время в секундах от момента последнего действия>
2.9 Выключение/перезагрузка компьютера
2.9.1 Графический режим
Выбор пункта «Выйти» (Рис. 14) в «Меню MATE» позволяет выключить (или
перезагрузить) систему.
При выборе этого пункта откроется окно, в котором предоставляется выбор дальнейших
действий (Рис. 15):
«Ждущий режим» – компьютер переводится в режим экономии энергии;
«Спящий режим» – компьютер переводится в режим энергосбережения, позволяющий от-
ключить питание компьютера, сохранив при этом текущее состояние операционной систе-
мы;
«Перезагрузить» – выполняется перезапуск ОС;
21
«Выключить» – выполняется выключение компьютера.
Выключение компьютера
Рис. 14
Окно выключения компьютера
Рис. 15
Если не производить никаких действий, то компьютер будет автоматически выключен че-
рез 1 минуту.
2.9.2 Консольный режим
Перезагрузить систему в консольном режиме можно, выполнив команду:
22
$ systemctl reboot
Завершить работу и выключить компьютер (с отключением питания):
$ systemctl poweroff
Перевести систему в ждущий режим:
$ systemctl suspend
23
3 ОБЗОР ПРИЛОЖЕНИЙ ДЛЯ РАБОЧЕЙ СТАНЦИИ
ОС «Альт Рабочая станция» содержит огромное число приложений (программ) для
выполнения всех повседневных задач. При этом важно понимать, что для выполнения одного и
того же действия могут быть использованы разные приложения. Например, для написания
простых текстов доступен целый ряд текстовых редакторов с разным набором возможностей.
Набор программ с диска покрывает обычные потребности. Если же определѐнная
программа отсутствует в системе, то еѐ можно установить с диска или из огромного банка
программного обеспечения ОС «Альт Рабочая станция».
3.1 Веб-навигация
Веб-браузеры – комплексные программы для обработки и отображения HTML-страниц по
протоколу HTTP и HTTPS (открытие страниц сайтов, блогов и т.д.). Основное назначение веб-
браузера – предоставление интерфейса между веб-сайтом и его посетителем. В базовые функции
современных веб-браузеров входят:
навигация и просмотр веб-ресурсов;
показ оглавлений FTP-серверов и скачивание файлов;
поддержка скриптовых языков.
Основные принципы работы с веб-браузером неизменны. Программа предоставляет
пользователю адресную строку, в которую вносится адрес необходимого сайта. Эта же строка
может использоваться для ввода поискового запроса. Для более быстрого доступа адреса часто
посещаемых сайтов добавляются в закладки. Для перехода к предыдущей/следующей
просмотренной веб-странице, как правило, предусмотрены специальные кнопки на панели
инструментов.
3.1.1 Mozilla Firefox
Программа Mozilla Firefox – веб-браузер, поддерживающий большинство современных
веб-технологий и интернет-протоколов. Браузер Mozilla Firefox предлагает пользователю
логичный интерфейс и возможность полностью контролировать свою работу в Интернете
(Рис. 16).
Веб-браузер Mozilla Firefox предоставляет широкие возможности настройки: пользователь
может устанавливать дополнительные темы, изменяющие внешний вид программы, и расширения,
добавляющие новую функциональность.
Для того чтобы открыть интернет-страницу, необходимо ввести еѐ адрес в адресную строку
браузера и нажать кнопку <Enter>. Если нужно открыть ссылку на следующую страницу в новой
вкладке, то необходимо нажать на ней средней кнопкой (колесом) мыши. Есть возможность
настроить одновременный просмотр нескольких страниц в разных вкладках одного окна.
24
Mozilla Firefox
Рис. 16
Для быстрого доступа к часто посещаемым веб-страницам можно создать ссылки на
«Панели закладок». Управление закладками и их редактирование осуществляется в рамках
диалогового окна «Библиотека».
Панель навигации помогает пользователю искать:
интеллектуальная строка ввода адреса предоставляет окно-подсказку с историей посеще-
ний, закладок и открытых вкладок, а также топа сайтов;
строка поиска предлагает пользователю функцию поиска по мере набора текста.
Веб-браузер Mozilla Firefox работает как полнофункциональный FTP-клиент. Процесс
загрузки найденных в Интернете файлов на жѐсткий диск компьютера отображается в диалоговом
окне менеджера загрузок. В настройках веб-браузера можно указать папку для сохранения файлов
или выбрать возможность назначать папку при сохранении файлов.
Mozilla Firefox включает в себя встроенное средство для просмотра PDF, которое позволяет
просматривать почти все PDF-файлы, найденные в Интернете, без использования внешнего
приложения.
3.2 Электронная почта
Для работы с электронной почтой применяются специализированные программы –
почтовые клиенты, предоставляющие пользователю гибкие и эффективные возможности работы с
электронной корреспонденцией: различные средства сортировки сообщений, выбор шаблонов из
готового набора, проверку орфографии по мере набора текста и другие полезные функции.
25
Современные пользователи предпочитают работать с электронной почтой через
веб-интерфейс, используя браузер. Подручных средств, предоставляемых популярными почтовы-
ми сервисами, для повседневных почтовых нужд пользователя практически достаточно, но ис-
пользование специально предназначенных программ даѐт некоторые преимущества:
возможность одновременной работы с несколькими учѐтными записями;
гибкие правила сортировки почты;
обеспечение ограниченного доступа к отдельным папкам или учѐтным записям;
наличие антиспам-систем и систем фильтрации рекламы;
экономия входящего трафика.
Для Linux создано большое количество почтовых клиентов. Все они обладают своими осо-
бенностями и, как правило, имеют всѐ необходимое для успешной работы с электронной почтой:
сортировку и фильтрацию сообщений, поддержку различных кодировок сообщений, возможность
работы со списками рассылки и т.п.
Выбор почтового клиента зависит от личных предпочтений пользователя. Для первона-
чальной настройки любого почтового клиента потребуются следующие данные:
адрес электронной почты;
пароль для доступа к ящику электронной почты;
имена серверов входящей и исходящей почты;
тип сервера входящей почты (IMAP или POP3).
Адрес и порт для доступа к SMTP и POP3 серверам необходимо выяснить у провайдера
электронной почты или у администратора сети предприятия.
3.2.1 Thunderbird
Mozilla Thunderbird – мощный почтовый клиент, позволяющий максимально эффективно
работать с электронной почтой (Рис. 17). Mozilla Thunderbird позволяет работать с электронной
корреспонденцией через протоколы POP, SMTP и IMAP, участвовать в конференциях Usenet, а
также осуществлять подписку на новостные ленты RSS.
Функции Thunderbird:
настройка интерфейса (изменение расположения окон, наличие и отсутствие кнопок на па-
нели инструментов, изменение их размера и т.д.);
отображение любого форматирования HTML, обеспечивающее кроссплатформенную сов-
местимость;
выбор режимов показа и компоновки учѐтных записей и почтовых папок;
поддержка смены тем и установки расширений.
26
Почтовый клиент Mozilla Thunderbird
Рис. 17
При первом запуске почтового клиента Thunderbird будет автоматически запущен мастер
«Настройка учѐтной записи почты».
Мастер создания учѐтной записи запросит (Рис. 18):
имя пользователя;
адрес электронной почты;
пароль.
Почтовый клиент Mozilla Thunderbird. Настройка учѐтной записи почты
Рис. 18
27
Далее, на основании введѐнной информации, мастер определяет протокол доступа (IMAP
или POP3) и адреса серверов входящих и исходящих сообщений. Можно принять предложенные
настройки, если они верны, нажав на кнопку «Готово», или указать правильные настройки,
воспользовавшись кнопкой «Настроить вручную...». Добавить дополнительную учѐтную запись
можно выбрав в левой части окна программы одну из существующих учѐтных записей, и затем
нажав кнопку «Электронная почта».
Если почтовый ящик пользователя расположен на сервисе Gmail или Яндекс.Почта, то вся
настройка происходит автоматически – необходимо ввести только имя учѐтной записи и пароль.
Если у пользователя есть несколько учѐтных записей можно выбирать метод их
компоновки на панели почтовых папок.
Для составления письма необходимо нажать кнопку «Создать», в открывшемся окне
«Создание сообщения» ввести адрес получателя, тему и текст письма (Рис. 19). Для проверки
ошибок в тексте необходимо нажать кнопку «Орфография».
Использование почтового клиента
Рис. 19
В виде вложения к письму можно пересылать электронные документы, изображения,
архивы и другие вложения. Для того чтобы добавить вложение, необходимо нажать кнопку
«Вложить» и выбрать нужный файл в открывшемся окне. Закончив составление письма,
необходимо нажать кнопку «Отправить».
28
3.3 Обмен мгновенными сообщениями
Для обмена сообщениями в режиме реального времени через Интернет необходима
специализированная клиентская программа, передающая текстовые сообщения, а также файлы
различных типов. Система мгновенного обмена сообщениями является одним из самых доступных
и востребованных средств общения в Интернете. Преимущества инструментов мгновенного
обмена информацией:
скорость — мгновенные сообщения позволяют собеседникам общаться со скоростью нажа-
тия на кнопку, без необходимости открывать письма и ждать ответа;
удобство — программы обмена мгновенными сообщениями включают широкий набор
коммуникативных и производственных функций.
Большинство современных программ мгновенного обмена сообщениями позволяют видеть,
подключены ли в данный момент абоненты, занесѐнные в список контактов. Сообщения
появляются на мониторе собеседника только после окончания редактирования и отправки. В
список основных функций служб мгновенных сообщений входят:
чат (видеочат, текстовый и голосовой);
VoIP сервисы: звонки на компьютер, звонки на телефоны;
возможность отправки SMS;
передача файлов;
инструменты для совместной работы в режиме реального времени;
возможность общаться в чате непосредственно на веб-странице;
напоминания и оповещения;
хранение истории общения по каждому контакту;
индикация о сетевом статусе занесѐнных в список контактов пользователей.
Существуют клиентские программы, позволяющие подключаться одновременно к
нескольким сетям. Они поддерживают наиболее популярные протоколы, что избавляет
пользователя от необходимости устанавливать отдельный IM-клиент для каждой сети.
3.3.1 Pidgin
Pidgin – мультипротокольная программа-клиент для мгновенного обмена сообщениями,
позволяющая одновременно подключиться к нескольким сетям (Рис. 20). Поддерживает наиболее
популярные протоколы: AIM, Bonjour, Facebook (XMPP), Gadu-Gadu, Google-общение, GroupWise,
ICQ, IRC, MSN, MXit, MySpaceIM, SIMPLE, Sametime, XMPP, Yahoo, Yahoo JAPAN и Zephyr.
29
Окно списка собеседников Pidgin
Рис. 20
Функции Pidgin:
поддержка особенностей различных сетей (статус сообщения, значки друзей, уведомление
о наборе текста…);
шифрованный чат;
возможность установки модулей расширения;
возможность «метаконтактов»;
запись протокола событий;
поддержка вкладок в окне разговора;
одновременное подключение к нескольким аккаунтам;
слежение за пользователями;
многоязычный интерфейс.
После запуска Pidgin необходимо произвести его первоначальную настройку. При первом
запуске Pidgin из меню «Уч.записи» → «Управление учѐтными записями» необходимо запустить
диалоговое окно мастера создания учѐтной записи и создать учѐтную запись пользователя
(Рис. 21).
30
Диалоговое окно мастера создания учѐтной записи
Рис. 21
Из списка поддерживаемых служб необходимо выбрать ту, которая будет использоваться
(можно выбрать службу, основанную на открытых стандартах, например jabber).
После настройки учѐтной записи следует добавить в список контактов собеседников (кноп-
ка «Добавить собеседника…») и, при условии, что нужный собеседник подключен к службе мгно-
венных сообщений, можно начинать общение.
За дополнительной информацией по использованию Pidgin можно обратиться к справке,
вызываемой из меню «Помощь» → «Помощь в сети».
3.4 Офисные приложения
Офисными приложениями традиционно называют пакет программ для работы с текстами,
таблицами и презентациями.
3.4.1 LibreOffice
LibreOffice – пакет программ для работы с офисными документами. Кроме стандартных
для LibreOffice форматов хранения данных, можно успешно открывать и сохранять документы,
созданные в других популярных офисных пакетах (Рис. 22).
31
Пакет программ LibreOffice
Рис. 22
Текстовый процессор (LibreOffice Writer) позволяет проектировать и создавать
текстовые документы, содержащие изображения, таблицы или графики. В LibreOffice Writer
можно сохранять документы в различных форматах, включая стандартизированный формат
OpenDocument format (ODF), формат Microsoft Word (DOC, DOCX) или HTML. Кроме того,
LibreOffice Writer позволяет экспортировать документ в формате переносимого документа (PDF).
Текстовый процессор поддерживает и другие форматы.
Электронная таблица (LibreOffice Calc) предназначена для работы с электронными таб-
лицами. Инструментарий электронных таблиц включает мощные математические функции, позво-
ляющие вести сложные статистические, финансовые и прочие расчѐты.
Презентация (LibreOffice Impress) позволяет создавать профессиональные слайд-шоу, ко-
торые могут включать диаграммы, рисованные объекты, текст, мультимедиа и множество других
элементов. При необходимости можно также импортировать и изменять презентации Microsoft
PowerPoint. Для того чтобы сделать экранные презентации более эффектными, можно использо-
вать такие средства, как анимация, мультимедиа и переходы между слайдами.
Редактор рисунков (LibreOffice Draw) позволяет создавать рисунки различной сложности
и экспортировать их с использованием нескольких общепринятых форматов изображений. Кроме
32
того, можно вставлять в рисунки таблицы, диаграммы, формулы и другие элементы, созданные в
программах LibreOffice.
Базы данных (LibreOffice Base) поддерживает некоторые обычные файловые форматы баз
данных, например, BASE. Кроме того, можно использовать LibreOffice Base для подключения к
внешним реляционным базам данных, например, к базам данных MySQL или Oracle. В базе
LibreOffice Base невозможно изменить структуру базы данных или редактировать, вставлять и
удалять записи для ниже перечисленных типов баз данных (они доступны только для чтения):
файлы электронной таблицы;
текстовые файлы;
данные адресной книги.
3.5 Файловые менеджеры
Файловые менеджеры предоставляют интерфейс пользователя для работы с файловой си-
стемой и файлами. Файловые менеджеры позволяют выполнять наиболее частые операции над
файлами – создание, открытие/проигрывание/просмотр, редактирование, перемещение, переиме-
нование, копирование, удаление, изменение атрибутов и свойств, поиск файлов и назначение прав.
Помимо основных функций, многие файловые менеджеры включают ряд дополнительных воз-
можностей, например, таких как работа с сетью (через FTP, NFS и т.п.), резервное копирование,
управление принтерами и прочее.
3.5.1 Обзор файлового менеджера Caja
Caja – это современный файловый менеджер для рабочей среды MATE (Рис. 23).
Файловый менеджер Caja является точкой доступа, как к файлам, так и к приложениям. Используя
файловый менеджер, можно:
создавать папки и документы;
просматривать файлы и папки;
управлять файлами и папками;
настраивать и выполнять особые действия;
получать доступ к съѐмным носителям.
33
Файловый менеджер Caja
Рис. 23
Окно файлового менеджера состоит из боковой панели слева, основной области справа и
панели адреса, расположенной над основной областью. На боковой панели размещены закладки на
различные папки системы. Основная область отображает содержимое текущей папки. Панель
адреса всегда показывает путь к текущей папке.
Чтобы просмотреть свойства файла (папки), необходимо выделить файл (папку) и выпол-
нить одно из следующих действий:
в меню выбрать «Файл» → «Свойства»;
в контекстном меню файла (папки) выбрать пункт «Свойства»;
нажать <Alt>+<Enter>.
Окно «Свойства» объекта показывает подробную информацию о любом файле, папке или
другом объекте в файловом менеджере (какие именно сведения будут доступны, определяется ти-
пом объекта):
имя файла или папки – можно ввести новое имя, и файл или папка будут переименованы
после нажатия кнопки «Закрыть»;
34
тип – тип объекта (например, файл или папка);
адрес – системный путь к объекту (указывает местонахождение объекта относительно кор-
ня системы);
том – том, на котором расположена папка (физическое местоположение папки – носитель,
на котором она находится);
свободное место – объѐм свободного пространства на носителе, на котором находится пап-
ка (наибольшее количество данных, которые можно скопировать в эту папку);
изменѐн – дата и время последнего изменения объекта;
дата доступа – дата и время последнего просмотра объекта.
С помощью окна «Свойства объекта» можно выполнить следующие действия:
изменить значок объекта;
изменить файловые права на доступ к объекту;
выбрать, с помощью какого приложения следует открывать данный объект и другие объек-
ты того же типа.
Домашняя папка 3.5.1.1
Все файлы и папки пользователя хранятся в системе внутри домашней папки (каталог
/home/имя_пользователя). Открыть еѐ можно, щѐлкнув на значке папки на рабочем столе. Откро-
ется файловый менеджер Caja, позволяющий просматривать содержимое дерева каталогов, уда-
лять, переименовывать и производить прочие операции над файлами и папками.
П р и м е ч а н и е . Домашняя папка есть у каждого пользователя системы, и по умолчанию
содержащиеся в ней файлы недоступны для других пользователей (даже для чтения).
В домашней папке по умолчанию находятся несколько стандартных папок:
«Документы» – папка, предназначенная для хранения документов;
«Загрузки» – в данную папку по умолчанию загружаются файлы из Интернета;
«Рабочий стол» – содержит файлы, папки и значки, отображающиеся на рабочем столе.
Кроме того, в домашней папке и еѐ подпапках можно создавать другие папки при помощи
контекстного меню («Создать папку…») (Рис. 24).
35
Рис. 24
П р и м е ч а н и е . Контекстное меню вызывается при помощи щелчка правой кнопкой мыши
на объекте. Контекстное меню файла, папки и свободного пространства могут сильно отличаться
друг от друга.
Caja, как и прочие приложения ОС «Альт Рабочая станция», содержит руководство пользо-
вателя, вызываемое из раздела «Помощь» основного меню или нажатием <F1>. Ниже описаны
лишь некоторые возможности файлового менеджера. За полным руководством обращайтесь к
встроенному руководству пользователя Caja.
Копирование и перемещение файлов 3.5.1.2
Скопировать или переместить файл или папку можно различными способами:
«перетащить» папку или файл из одного открытого окна Caja в другое (где открыта целевая
папка). Перетаскивание можно осуществлять и в двупанельном режиме (Рис. 25). В этом
случае не потребуется запускать два экземпляра Caja – можно перемещать и копировать
файлы и папки, перетаскивая их между панелями. Двупанельный режим можно активиро-
вать, нажав клавишу <F3>.
копировать и перемещать папку или файл можно, используя основное стандартное меню
«Правка» (либо контекстное меню):
36
необходимо выделить то, что нужно скопировать или переместить;
из основного меню «Правка» или из контекстного меню выбрать «Копировать» (для
копирования) или «Вырезать» (для перемещения);
открыть папку, в которую нужно скопировать или переместить объект;
вызвать в этой папке из основного меню «Правка» (из контекстного меню) пункт
«Вставить».
Копирование файлов в менеджере Caja
Рис. 25
П р и м е ч а н и е . Для выбора сразу нескольких файлов или папок можно отметить их спис-
ком, удерживая при этом клавишу <Ctrl>.
Удаление файлов 3.5.1.3
По умолчанию фалы и папки удаляются в «Корзину». Это позволяет восстановить объект
при его ошибочном удалении.
Удалить выделенный объект можно из основного меню «Правка»→ «Удалить». Можно ис-
пользовать контекстное меню, или удалять объекты клавишей <Del>.
При ошибочном удалении можно восстановить объект из корзины. Для этого нужно от-
крыть корзину, вызвать на удалѐнном файле или папке контекстное меню и в нѐм выбрать пункт
37
«Восстановить». Выбор в контекстном меню пункта «Удалить окончательно» может окончательно
удалить ненужный файл или папку, без возможности еѐ восстановления.
Для того чтобы безвозвратно удалить все содержимое корзины, необходимо выбрать в кон-
текстном меню корзины пункт «Очистить корзину».
Открытие файлов 3.5.1.4
Открыть файл из Caja – значит запустить приложение, ассоциированное с этим типом фай-
лов, в нѐм и откроется файл.
Например, при щелчке на файл, являющийся изображением (например .jpg файл) откроется
программа просмотра изображений «Глаз MATE». Таким образом, можно открывать файлы про-
стым щелчком прямо из файлового менеджера Caja.
Если на компьютере установлено несколько программ для работы с изображениями, то
можно запустить нужную, выбрав еѐ из контекстного меню (щелчок правой кнопкой мыши по
файлу, далее «Открыть в другой программе»).
3.6 Графика
ОС «Альт Рабочая станция» предлагает приложения для работы с растровой и векторной
графикой. Выбор пользователя зависит как от личных предпочтений, так и от задач, которые он
собирается решать, будь то простой просмотр графических файлов или, например, создание про-
фессиональных макетов.
3.6.1 Программа для распознавания текста gImageReader
gImageReader (Рис. 26) поддерживает автоматическое определение макета страницы, при
этом пользователь может вручную определить и настроить регионы распознавания. Приложение
позволяет импортировать изображения с диска, сканирующих устройств, буфера обмена и скрин-
шотов. gImageReader также поддерживает многостраничные документы PDF.
38
Окно программы gImageReader
Рис. 26
Особенности gImageReader:
поддерживаемые форматы изображений: jpeg, png, tiff, gif, pnm, pcx, bmp;
поддержка формата электронных документов PDF. Возможность выбрать отдельные стра-
ницы и диапазон страниц для распознавания;
автоматическое обнаружение расположения страницы;
выделение области с текстом для распознавания;
получение изображения напрямую со сканера. Настройка разрешения, сохранение в формат
png;
проверка орфографии.
3.6.2 Глаз MATE
Глаз MATE является простым приложением для просмотра изображений. После загрузки
изображения (Рис. 27), можно увеличивать его масштаб, вращать изображение, а также просмат-
ривать другие изображения из каталога, в котором находится открытое изображение.
39
Окно программы Глаз MATE
Рис. 27
3.7 Менеджер архивов Engrampa
Менеджер архивов можно использовать для создания, просмотра, изменения и распаковки
архивов. Архив – это файл, служащий контейнером для других файлов. Архив может содержать
множество файлов, папок и подпапок, обычно в сжатом виде.
Менеджер архивов поддерживает, в числе прочих, следующие форматы архивов (должны
быть установлены соответствующие инструменты командной строки):
архив 7-zip – .7z;
образ компакт-диска – .iso (только чтение);
архив RAR (Roshal ARchive) – .rar;
архив Tar – .tar;
архив Tar, сжатый bzip – tar.bz или .tbz;
архив Tar, сжатый bzip2 – tar.bz2 или .tbz2;
архив Tar, сжатый gzip – tar.gz или .tgz;
архив Tar, сжатый xz – tar.xz;
архив Zip – .zip.
40
Менеджер архивов автоматически определяет тип архива и отображает (Рис. 28):
имя архива в заголовке окна;
содержимое архива в области отображения;
число файлов и папок (объектов) в текущем местоположении и их размер (в распакованном
виде) в строке состояния.
Менеджер архивов Engrampa
Рис. 28
3.7.1 Использование файлового менеджера для работы с архивом
Файловый менеджер можно использовать для добавления файлов в архив или для извлече-
ния файлов из архива.
Для добавления файла/каталога в архив необходимо:
в контекстном меню файла/каталога, выбрать пункт «Сжать» (Рис. 29);
в открывшемся окне необходимо ввести имя архива, выбрать из выпадающего списка тип
архива, выбрать место для хранения архива и нажать кнопку «Создать» (Рис. 30).
При создании нового архива можно указать дополнительные параметры, раскрыв пункт
«Другие параметры» в окне создания архива.
41
Создание архива
Рис. 29
Добавление файлов в архив
Рис. 30
Можно указать следующие дополнительные параметры (Рис. 31):
«Пароль» – пароль, который будет использоваться для шифрования (не все типы архивов
поддерживают шифрование). Если пароль не указан, архив не будет зашифрован;
«Шифровать также список файлов» – пароль будет запрашиваться даже для просмотра
списка файлов, содержащихся в архиве, в противном случае он будет использоваться толь-
ко для извлечения файлов из архива;
42
«Разделить на тома размером» – позволяет разбить архив на несколько файлов указанного
размера. Только 7-Zip и RAR архивы поддерживают эту функцию.
Дополнительные параметры
Рис. 31
Для того чтобы извлечь файлы из архива, следует в контекстном меню архива выбрать
пункт «Распаковать сюда» (Рис. 32) – файлы будут распакованы в текущий каталог, или «Распако-
вать в...» – можно указать каталог, куда будут извлечены файлы:
43
Распаковка файлов
Рис. 32
3.8 Системный монитор
Приложение «Системный монитор» отображает список всех запущенных приложений, а
также, сколько каждое из них занимает процессорного времени и оперативной памяти.
Для запуска «Системного монитора» следует выбрать пункт «Меню MATE» → «Приложе-
ния» → «Системные» → «Системный монитор MATE».
Вся информация распределена по четырем вкладкам:
во вкладке «Система» выводится базовая информация о системе;
вкладка «Процессы» позволяет просматривать и управлять запущенными процессами.
Каждый процесс можно приостановить, остановить, изменить приоритет и выполнить не-
которые другие действия;
во вкладке «Ресурсы» (Рис. 33) в реальном времени выводится информация о ресурсах (в
виде графиков) – использование процессора (CPU), использование оперативной памяти
(RAM) и файла подкачки (SWAP), а также использование сети;
во вкладке «Файловые системы» можно просматривать информацию о файловых системах.
44
Системный монитор
Рис. 33
При щелчке правой кнопкой мыши по любому запущенному процессу, открывается кон-
текстное меню (Рис. 35), с помощью которого можно завершить «зависшее» приложение, остано-
вить, перезапустить и даже изменить его приоритет времени, что позволит регулировать допусти-
мый объем требований к системным ресурсам.
45
Контекстное меню процесса
Рис. 34
Для изменения приоритета процесса необходимо:
выбрать вкладку «Процессы», чтобы отобразить список процессов;
выбрать процесс, приоритет которого следует изменить;
в контекстном меню процесса выбрать пункт «Изменить приоритет» (Рис. 35);
если выбрать пункт «Вручную», откроется диалоговое окно «Изменить приоритет процес-
са...» (Рис. 36), здесь можно использовать ползунок, чтобы установить уровень приоритета.
Приоритет процесса задается уровнем nice. Меньшее значение nice соответствует более вы-
сокому приоритету;
нажать кнопку «Изменить приоритет».
46
Изменение приоритета процесса
Рис. 35
Диалоговое окно «Изменить приоритет процесса...»
Рис. 36
П р и м е ч а н и е . Для установки более высокого приоритета, чем тот, который уже установ-
лен у процесса, потребуется ввести пароль пользователя, находящегося в группе wheel.
3.9 Центр приложений
Центр приложений позволяет легко устанавливать и удалять программы, а так же выпол-
нять поиск по названиям и описаниям среди доступных приложений.
47
Для запуска «Центра приложений» следует выбрать пункт «Меню MATE» → «Приложе-
ния» → «Системные» → «Центр приложений».
Вся информация распределена по двум вкладкам (Рис. 37):
на вкладке «Все» показаны доступные приложения;
вкладка «Установлено» позволяет просматривать и удалять установленные приложения.
Центр приложений
Рис. 37
На вкладке «Все» доступные приложения разбиты на категории. Чтобы найти приложение,
следует выбрать категорию приложения, дополнительно внутри группы, в выпадающем списке
«Показать» можно выбрать подкатегорию, тем самым сократив, область поиска (Рис. 39).
Быстро найти необходимое приложение можно используя поиск. Строка поиска открывает-
ся, при нажатии на кнопку в виде лупы, расположенную в левом верхнем углу «Центра приложе-
ний». В строке поиска нужно ввести название приложения.
При выборе приложения, в детальном просмотре, доступны кнопки «Устано-
вить»/«Запустить»/«Удалить» (в зависимости от того установлено данное приложение или нет),
выводятся снимки экрана, полное описание, а также пользовательские комментарии (Рис. 39).
48
Центр приложений. Категория «Графика и фотография»
Рис. 38
Чтобы установить какое-либо приложение сначала нужно его найти, затем выбрать из
списка и нажать на кнопку «Установить».
Центр приложений. Детальный просмотр приложения «Krita»
Рис. 39
49
3.10 Recoll – полнотекстовый поиск
Recoll – программа для полнотекстового поиска по файлам с различными форматами. По-
мимо обычного поиска, Recoll позволяет использовать некоторые дополнительные функции: по-
иск по автору, размеру и формату файла, а также поддерживаются такие операторы, как «AND»
или «OR».
Для запуска Recoll необходимо в «Меню MATE» выбрать пункт «Приложения» → «Стан-
дартные» → «Recoll».
3.10.1 Индексация файлов
Для поиска требуется предварительная индексация библиотекой Xapian заданных катало-
гов. Переиндексация может запускаться в фоновом режиме или по запросу.
Индексация – это процесс, с помощью которого анализируется набор документов и данные
вводятся в базу данных. Повторное индексирование обычно является инкрементным: документы
будут обрабатываться только в том случае, если они были изменены с момента последней индек-
сации.
Произвести настройку индексирования (выбрать каталоги для поиска) можно при первом
запуске программы (Рис. 40).
Настройка первого индексирования
Рис. 40
Для индексирования только домашнего каталога с настройками по умолчанию, необходимо
нажать кнопку «Запустить индексирование». Для указания каталогов, а также настройки парамет-
50
ров индексирования можно нажать ссылку «Настройка индексирования». Для задания расписания
индексирования следует нажать ссылку «Расписание индексирования».
Для индексирования только домашнего каталога с настройками по умолчанию, необходимо
нажать кнопку «Запустить индексирование». Для указания каталогов, а также настройки парамет-
ров индексирования можно нажать ссылку «Настройка индексирования». Для задания расписания
индексирования следует нажать ссылку «Расписание индексирования».
Настроить параметры индексации можно, выбрав в главном меню Recoll пункт «Настрой-
ка» → «Настройка индекса». Окно настройки индексации разделено на четыре вкладки: «Общие
параметры», «Частные параметры», «Просмотренные веб-страницы» и «Параметры поиска».
На вкладке «Общие параметры» (Рис. 41) можно установить каталог верхнего уровня, от
которого рекурсивно начнѐтся индексация (по умолчанию это домашний каталог пользователя);
указать пути, которые следует пропустить при индексации файлов.
На вкладке «Частные параметры» (Рис. 42) можно переопределить переменные для подка-
талогов. Переменные устанавливаются для текущего выбранного каталога (или для верхнего
уровня, если в списке ничего не выбрано или выбрана пустая строка). Например, можно переопре-
делить кодировку файлов, добавив в поле «Пользовательские каталоги» каталог, в котором нахо-
дятся файлы с кодировкой отличной от Unicode, и в выпадающем списке «Кодировка по умолча-
нию» выбрать нужную кодировку.
Запустить индексацию можно выбрав в меню «Файл» → «Обновить индекс».
Настройка параметров индексирования. Общие параметры
Рис. 41
51
Настройка параметров индексирования. Частные параметры
Рис. 42
Индексирование Recoll может выполняться в двух основных режимах:
периодическая индексация – выполняется в определѐнное время (например, по ночам, ко-
гда компьютер простаивает);
индексация в реальном времени (фоновое индексирование) – recollindex постоянно работа-
ет как сервис и использует монитор изменений файловой системы для обнаружения изме-
нений файлов. Новые или обновленные файлы индексируются сразу.
Выбрать и настроить режим индексирования можно, выбрав в главном меню Recoll
«Настройка» → «Расписание индексирования» (Рис. 43).
Настройка расписания индексирования
Рис. 43
52
3.10.2 Поиск файлов
Recoll имеет два интерфейса поиска:
простой поиск – одно поле ввода (по умолчанию на главном экране), в которое можно вве-
сти несколько слов (Рис. 44);
расширенный поиск – панель, доступ к которой осуществляется через меню («Инструмен-
ты» → «Сложный поиск») или значок панели инструментов. Расширенный поиск имеет не-
сколько полей ввода (Рис. 45), которые можно использовать для создания логического
условия, с дополнительной фильтрацией по типу файла, местоположению в файловой си-
стеме, дате изменения и размеру.
Простой поиск
Рис. 44
Сложный поиск
Рис. 45
53
Для выполнения поиска, следует выбрать, поисковый режим («Любое слово», «Все слова»,
«Имя файла» или «Язык запроса»), ввести поисковые слова и нажать кнопку «Поиск» или <Enter>
(Рис. 46).
Режим поиска по умолчанию – «Язык запроса». В этом режиме будет выполнен поиск до-
кументов, содержащих все условия поиска, как и в режиме «Все слова». В режиме «Любое слово»
будут найдены документы, содержащие любое из введенных вами поисковых слов. В режиме
«Имя файла» выполняется сопоставление поискового запроса только имени файла, но не содер-
жимого.
Поиск файлов
Рис. 46
Recoll предоставляет большие возможности по поиску. Разделителем в перечне искомых
строк в Recoll служит пробел; поэтому запросы, содержащие пробел должны заключаться в ка-
вычки. В запросах допускаются символы-маски *, ? и [ ].
3.10.3 Список результатов поиска
После запуска поиска список результатов мгновенно отобразится в главном окне.
По умолчанию список документов представлен в порядке релевантности (насколько хоро-
шо система оценивает соответствие документа запросу). Можно отсортировать результат по дате
по возрастанию или по убыванию, используя вертикальные стрелки на панели инструментов.
Каждый результат поиска сопровождается небольшим фрагментом файла (Рис. 46).
При нажатии ссылки «Просмотр» откроется внутреннее окно предварительного просмотра
документа. При нажатии ссылки «Открыть» запускается внешнее средство просмотра документа.
54
В контекстном меню каждой записи списка результатов есть пункт «Открыть с помощью», для
выбора приложения из списка тех, которые зарегистрированы в системе для данного типа MIME-
документа (Рис. 47).
Контекстное меню результата запроса
Рис. 47
Результаты поиска можно представить в виде таблицы. Щелчок по заголовку столбца поз-
волит выполнить сортировку по значениям в столбце (Рис. 48).
Результаты поиска в виде таблицы
Рис. 48
55
По умолчанию Recoll позволяет рабочему окружению выбирать, какое приложение следует
использовать для открытия документа данного типа. Настроить это действие можно с помощью
меню «Настройка» → «Настройка интерфейса» → «Интерфейс пользователя» (Рис. 49).
Пользовательская настройка
Рис. 49
При нажатии кнопки «Выбор приложений-редакторов» откроется диалоговое окно, где
можно выбрать приложение, которое будет использоваться для открытия каждого MIME-типа
(Рис. 50).
Пользовательская настройка
Рис. 50
56
4 НАСТРОЙКА СИСТЕМЫ
4.1 Центр управления системой
Для управления настройками установленной системы можно использовать Центр
управления системой. Центр управления системой (ЦУС) представляет собой удобный интерфейс
для выполнения наиболее востребованных административных задач: добавление и удаление
пользователей, настройка сетевых подключений, просмотр информации о состоянии системы и
другие административные задачи.
ЦУС включает также веб-ориентированный интерфейс, позволяющий управлять сервером с
любого компьютера сети.
ЦУС состоит из нескольких независимых диалогов-модулей. Каждый модуль отвечает за
настройку определѐнной функции или свойства системы.
4.1.1 Применение ЦУС
ЦУС можно использовать для разных целей, например:
настройка даты и времени;
управление системными службами;
просмотр системных журналов;
управление выключением удаленного компьютера (доступно только в веб-интерфейсе);
настройка ограничений выделяемых ресурсов памяти пользователям (квоты): («Использо-
вание диска»);
настройка ограничений на использование внешних носителей (доступно только в веб-
интерфейсе);
управлению политиками control (системные ограничения);
конфигурирование сетевых интерфейсов;
настройка межсетевого экрана;
изменения пароля администратора системы (root);
создание, удаление и редактирование учѐтных записей пользователей.
Все модули ЦУС имеют справочную информацию.
4.1.2 Запуск ЦУС в графической среде
ЦУС можно запустить следующими способами:
в графической среде MATE: «Приложения» → «Администрирование» → «Центр управле-
ния системой»;
из командной строки: командой acc.
При запуске необходимо ввести пароль администратора системы (root) (Рис. 51).
57
Запуск Центра управления системой
Рис. 51
После успешного входа можно приступать к настройке системы (Рис. 52).
Центр управления системой
Рис. 52
4.1.3 Использование веб-ориентированного ЦУС
ЦУС имеет веб-ориентированный интерфейс, позволяющий управлять данным компьюте-
ром с любого другого компьютера сети.
Для работы веб-ориентированного интерфейса, должен быть установлен пакет alterator-fbi:
# apt-get install alterator-fbi
И запущен сервис ahttpd:
58
# systemctl enable --now ahttpd
Работа с ЦУС может происходить из любого веб-браузера. Для начала работы необходимо
перейти по адресу https://ip-адрес:8080/.
Например, если IP-адрес компьютера под управлением ОС «Альт Рабочая станция»
192.168.0.150, то интерфейс управления будет доступен по адресу: https://192.168.0.150:8080/
При запуске ЦУС необходимо ввести в соответствующие поля имя пользователя (root) и
пароль пользователя (Рис. 53).
Запрос пароля администратора для запуска веб-интерфейса ЦУС
Рис. 53
После этого будут доступны все возможности ЦУС на той машине, к которой было произ-
ведено подключение через веб-интерфейс (Рис. 54).
59
Окно веб-интерфейса ЦУС
Рис. 54
Веб-интерфейс ЦУС можно настроить (кнопка «Режим эксперта»), выбрав один из режи-
мов:
основной режим;
режим эксперта.
Выбор режима влияет на количество отображаемых модулей. В режиме эксперта отобра-
жаются все модули, а в основном режиме только наиболее используемые.
ЦУС содержит справочную информацию по всем включѐнным в него модулям. Об исполь-
зовании самого интерфейса системы управления можно прочитать (Рис. 55), нажав на кнопку
«Справка» на начальной странице ЦУС.
60
Веб-интерфейс ЦУС. Справка
Рис. 55
После работы с ЦУС, в целях безопасности, не следует оставлять открытым браузер. Необ-
ходимо обязательно выйти из сеанса работы с ЦУС, нажав на кнопку «Выйти».
Подробнее об использовании ЦУС можно узнать в главе «Средства удаленного админи-
стрирования».
4.2 Выбор программ, запускаемых автоматически при входе в систему
Для более удобной работы с системой можно выбрать определенные программы, которые
будут запущены автоматически при входе пользователя в систему. Автозапускаемые программы
автоматически сохраняют свое состояние и безопасно завершаются сеансовым менеджером при
выходе из системы и перезапускаются при входе.
Инструмент настройки «Сессии» позволяет настроить, какие программы будут автоматиче-
ски запущены при входе в систему. Запустить инструмент настройки «Сессии», можно выбрав
пункт «Меню MATE» → «Приложения» → «Параметры» → «Запускаемые приложения».
61
4.2.1 Вкладка автоматического запуска программ
Список автоматически запускаемых программ представлен на вкладке «Автоматически за-
пускаемые программы» (Рис. 56). Этот список содержит краткое описание каждой программы и
отметку, указывающую запускать программу или нет.
Автоматически запускаемые программы
Рис. 56
На этой вкладке можно добавлять, удалять и изменять автозапускаемые приложения.
Для добавления новой автоматически запускаемой программы, следует выполнить следу-
ющие шаги:
нажать кнопку «Добавить». Откроется окно «Новая автоматически запускаемая програм-
ма»;
указать имя программы и команду, которая запустит приложение (Рис. 57);
нажать кнопку «Добавить».
62
Добавление автоматически запускаемой программы
Рис. 57
4.2.2 Вкладка настроек сессии
Менеджер сеанса может запомнить приложения, которые были запущены при выходе из
системы, и автоматически запустить их при входе в систему. Для того чтобы это происходило
каждый раз при выходе из системы, следует на вкладке «Опции» отметить пункт «Автоматически
запоминать запущенные приложения при выходе из сеанса» (Рис. 58).
Запоминать запущенные приложения при выходе из сеанса
Рис. 58
63
4.3 Настройка сети
4.3.1 NetworkManager
Для управления настройками сети в ОС «Альт Рабочая станция» используется программа
NetworkManager. NetworkManager позволяет подключаться к различным типам сетей: проводные,
беспроводные, мобильные, VPN и DSL, а также сохранять эти подключения для быстрого доступа
к сети.
NetworkManager доступен как апплет, находящийся в системном лотке.
При нажатии левой кнопкой мыши на значок NetworkManager, появляется контекстное ме-
ню, в котором можно выбрать одну из доступных сетей и подключиться к ней. Из этого меню так
же можно отключить активное Wi-Fi соединение или установить VPN соединение (Рис. 59).
Контекстное меню NetworkManager
Рис. 59
П р и м е ч а н и е . При подключении к беспроводной сети в первый раз может понадобиться
указать некоторые сведения о защите сети (например, указать аутентификационные данные).
При нажатии правой кнопкой мыши на значок NetworkManager, появляется меню, из кото-
рого можно получить доступ к изменению некоторых настроек (Рис. 60). Здесь можно посмотреть
версию программы, получить сведения о соединении, изменить соединения (например, удалить
Wi-Fi сеть, чтобы не подключаться к ней автоматически).
64
NetworkManager
Рис. 60
Для того чтобы просмотреть информацию о сетевом соединении, следует в меню
NetworkManager, вызываемом нажатием правой кнопкой мыши, выбрать пункт «Сведения о со-
единении». Сведения об активных соединениях будут отображены в диалоговом окне «Сведения о
текущем соединении», каждое в отдельной вкладке (Рис. 61).
Информация о сетевом соединении
Рис. 61
Для настройки соединений, следует в меню NetworkManager, вызываемом нажатием правой
кнопкой мыши, выбрать пункт «Изменить соединения». В открывшемся окне будет показан
сгруппированный по типам список соединений. Необходимо выбрать нужную сеть и нажать кноп-
ку «Изменить» (Рис. 62).
65
Изменение настроек сетевых соединений
Рис. 62
В открывшемся окне можно изменить настройки сетевого интерфейса (Рис. 63).
Окно изменения настроек сетевого интерфейса
Рис. 63
П р и м е ч а н и е . NetworkManager под именем «System eth0» показывает системное
Ethernet-соединение, создаваемое Etcnet. Изменить его в диалоге «Сетевые соединения» невоз-
можно. Это соединение можно изменить в ЦУС, там же можно выбрать, какой именно интерфейс,
какой подсистемой обслуживается (подробнее о выборе сетевой подсистемы рассказано в разделе
Конфигурирование сетевых интерфейсов).
4.3.2 Настройка в ЦУС
Настройку сети можно выполнить в ЦУС в разделе «Сеть» → «Ethernet интерфейсы». Здесь
можно задать как глобальные параметры сети (адрес сервера DNS, имя компьютера), так и
настройки конкретного сетевого интерфейса.
Подробнее о настройке сетевых интерфейсов в ЦУС рассказано в разделе
«Конфигурирование сетевых интерфейсов».
66
4.4 Установка принтера
Перед началом установки необходимо убедиться в том, что в случае локального подключе-
ния принтер присоединѐн к соответствующему порту компьютера и включѐн, а в случае сетевого
подключения принтер корректно сконфигурирован для работы в сети.
Настройки принтера можно запустить следующими способами:
в графической среде MATE: «Меню MATE» → «Приложения» → «Администрирование»
→ «Параметры печати».
из командной строки, выполнив команду:
$ system-config-printer
П р и м е ч а н и е . Если возникает ошибка «Служба печати недоступна» (Рис. 64), следует
нажать кнопку «Запустить службу». Потребуется ввести пароль пользователя, находящегося в
группе wheel.
Также можно в терминале от имени системного администратора root выполнить команду:
# systemctl restart cups
После выполнения команды необходимо вернуться к окну «Настройки принтера» и нажать
кнопку «Обновить».
Ошибка «Служба печати недоступна»
Рис. 64
Для добавления принтера необходимо нажать кнопку «Добавить» (Рис. 65).
69
Настройка печати
Рис. 68
Далее будет предложена проверка печати. После проверки откроется диалог, в котором,
при желании, можно настроить дополнительные параметры принтера: разрешение, размер исполь-
зуемой по умолчанию бумаги, а также задать принтер по умолчанию.
Изменить настройки добавленного принтера можно в любой момент, выбрав в программе
нужный принтер, затем в меню «Принтер» → «Свойства».
4.5 Настройка загрузчика GRUB2
Grub Customizer – приложение для настройки загрузчика Grub в графическом интерфейсе.
Grub Customizer позволяет редактировать (переименовать, удалить, скрыть) пункты меню загруз-
чика, цвета пунктов меню, изменять фоновое изображение загрузчика Grub.
При м е ч а н и е . Любая ошибка при редактировании настроек загрузчика может привести к
неспособности системы загрузиться.
Чтобы запустить Grub Customizer следует выбрать «Меню MATE» → «Приложения» →
«Администрирование» → «Grub Customizer».
Для запуска модуля потребуется ввести пароль администратора (Рис. 69).
70
Запуск Grub Customizer
Рис. 69
На вкладке «Просмотреть настройки» показан список возможных вариантов загрузки опе-
рационных систем (Рис. 70).
Вкладка «Просмотреть настройки»
Рис. 70
Здесь можно переименовать, создать и удалить пункт меню (выбрав соответствующий
пункт в контекстном меню, либо на панели инструментов).
На вкладке «Основные настройки» можно выбрать стандартно загружаемую ОС (по умол-
чанию, загружается первая по списку), настроить время ожидания загрузки после показа меню,
указать параметры ядра (Рис. 71).
71
Вкладка «Основные настройки»
Рис. 71
На вкладке «Настройки оформления» можно менять способы отображения GRUB и внеш-
ний вид меню (Рис. 72).
Вкладка «Настройки оформления»
Рис. 72
П р и м е ч а н и е . При выборе фонового изображения следует обратить внимание на пара-
метры изображения, чтобы меню было контрастным и выделялось на фоне изображения, и было
легко читаемым.
72
4.6 Ввод рабочей станции в домен Active Directory
Ниже приведена инструкция по вводу рабочей станции под управлением
ОС «Альт Рабочая станция» в домен Active Directory (работающий под Windows или под Samba
AD в режиме DC). Параметры домена:
TEST.ALT – имя домена;
TEST – рабочая группа;
HOST-15 – имя компьютера в Netbios;
Administrator – имя пользователя-администратора;
Pa$$word – пароль администратора.
4.6.1 Подготовка
Для ввода компьютера в Active Directory потребуется установить пакет task-auth-ad-sssd и
все его зависимости (если он еще не установлен):
# apt-get install task-auth-ad-sssd
Синхронизация времени с контроллером домена производится автоматически.
Настройку сети можно выполнить как в графическом интерфейсе, так и в консоли:
в ЦУС в разделе «Сеть» → «Ethernet интерфейсы» задать имя компьютера, указать в поле
«DNS-серверы» DNS-сервер домена и в поле «Домены поиска» – домен для поиска
(Рис. 73);
в консоли:
задать имя компьютера:
# hostnamectl set-hostname host-15.test.alt
в качестве первичного DNS должен быть указан DNS-сервер домена. Для этого
необходимо создать файл /etc/net/ifaces/enp0s3/resolv.conf со следующим содержи-
мым:
nameserver 192.168.0.122
где 192.168.0.122 – IP-адрес DNS-сервера домена.
указать службе resolvconf, использовать DNS контроллера домена и домен для поис-
ка. Для этого в файле /etc/resolvconf.conf добавить/отредактировать следующие па-
раметры:
interface_order='lo lo[0-9]* lo.* enp0s3'
search_domains= test.alt
где enp0s3 – интерфейс, на котором доступен сервер, test.alt – домен.
обновить DNS адреса:
# resolvconf -u
73
Настройка на использование DNS-сервера домена
Рис. 73
В результате выполненных действий в файле /etc/resolv.conf должны появиться
строки:
search test.alt
nameserver 192.168.0.122
П р и м е ч а н и е . После изменения имени компьютера могут перестать запускаться прило-
жения. Для решения этой проблемы необходимо перезагрузить систему.
4.6.2 Ввод в домен
Ввод в домен в ЦУС 4.6.2.1
Для ввода рабочей станции в домен необходимо запустить ЦУС («Меню MATE» → «При-
ложения» → «Администрирование» → «Центр управления системой»). В ЦУС следует перейти в
раздел «Пользователи» → «Аутентификация».
В открывшемся окне необходимо выбрать пункт «Домен Active Directory» (Рис. 74) и за-
полнить поля, после чего нажать кнопку «Применить».
75
При успешном подключении к домену, отобразится соответствующая информа-
ция (Рис. 76).
Успешное подключение к домену
Рис. 76
Ввод в домен в командной строке 4.6.2.2
Для ввода рабочей станции в домен можно воспользоваться следующей командой:
# system-auth write ad test.alt host-15 test 'administrator'
'Pa$$word'
Joined 'HOST-15' to dns domain 'test.alt'
Проверка работы 4.6.2.3
Проверить подключение к домену:
# getent passwd ivanov
ivanov:*:1327601105:1327600513:Иван
Иванов:/home/TEST.ALT/ivanov:/bin/bash
# net ads info
LDAP server: 192.168.0.122
LDAP server name: dc.test.alt
Realm: TEST.ALT
Bind Path: dc=TEST,dc=ALT
LDAP port: 389
Server time: Чт, 03 июн 2021 13:37:50 EET
KDC server: 192.168.0.122
Server time offset: -1270
Last machine account password change: Чт, 03 июн 2021 13:34:58 EET
# net ads testjoin
Join is OK
П р и м е ч а н и е . Список пользователей на сервере можно посмотреть, выполнив команду:
# samba-tool user list
77
Запрос пароля
Рис. 78
4.6.4 Отображение глобальных групп на локальные роли
Установить, если еще не установлен, модуль ролей:
# apt-get install libnss-role
Настроить роли и привилегии. Для этого добавить роль локальных администраторов:
# groupadd -r localadmins
П р и м е ч а н и е . Лучше использовать группу localadmins (вместо admins) во избежание
конфликта с группой admins во FreeIPA.
Добавить группу с правом удалѐнного доступа (по протоколу ssh):
# groupadd -r remote
Включить удалѐнный доступ только для группы remote:
# control sshd-allow-groups enabled
# sed -i 's/AllowGroups.*/AllowGroups = remote/'
/etc/openssh/sshd_config
# systemctl reload sshd
Настроить список привилегий для пользователей (для роли users):
78
# roleadd users cdwriter cdrom audio proc radio camera floppy xgrp
scanner uucp fuse
Настроить список привилегий для администраторов (для роли localadmins):
# roleadd localadmins wheel remote vboxusers
Настроить отображение локальных привилегий, назначенных локальным ролям, на гло-
бальные группы безопасности:
# roleadd 'Domain Users' users
# roleadd 'Domain Admins' localadmins
Просмотреть список назначенных ролей и привилегий:
# rolelst
id ivan
Данная настройка назначает заданный список локальных групп (привилегий) всем пользо-
вателям, входящим в заданные локальные группы (роли). А также назначает локальные роли для
глобальных групп в домене.
4.6.5 Подключение файловых ресурсов
Рассматриваемые способы позволяют подключать файловые ресурсы (file shares) для до-
менного пользователя без повторного ввода пароля (SSO, Single Sign-On).
Подключение с использованием gvfs 4.6.5.1
Недостаток такого способа – необходимо открыть ресурс в файловом менеджере (Caja,
Pcmanfm). Однако можно открывать любые ресурсы на любых серверах, входящие в домен Active
Directory.
1. Установить необходимые пакеты:
# apt-get install fuse-gvfs gvfs-backend-smb gvfs-utils
2. Включить пользователя в группу fuse:
# gpasswd -a <пользователь> fuse
3. Войти под доменным пользователем.
4. Открыть ресурс в файловом менеджере (например, по адресу smb://server/sysvol).
Ресурс смонтирован по пути /run/<uid_пользователя>/gvfs.
Другой вариант (полезно для скриптов в автозапуске):
gvfs-mount smb://server/sysvol/
П р и м е ч а н и е . Если необходимо открывать что-то с ресурса в WINE, в winecfg необхо-
димо добавить диск с путѐм /run/<uid_пользователя>/gvfs.
Подключение с использованием pam_mount 4.6.5.2
В этом случае заданный ресурс подключается с заданного сервера автоматически при каж-
дом входе доменным пользователем.
79
1. Установить pam_mount:
# apt-get install pam_mount
2. Прописать pam_mount в схему /etc/pam.d/system-auth-sss (перед auth required
pam_sss.so):
auth optional pam_mount.so
и
session optional pam_mount.so
3. Установить правило монтирования ресурса в файле
/etc/security/pam_mount.conf.xml (перед тегом <cifsmount>):
<volume uid="10000-2000200000" fstype="cifs" server="c228"
path="sysvol" mountpoint="~/share"
options="sec=krb5,cruid=%(USERUID),nounix,uid=%(USERUID),gid=%(USERGID
),file_mode=0664,dir_mode=0775" />
где
uid="10000-2000200000" – диапазон присваиваемых uid для доменных пользователей (под-
ходит для Winbind и для SSSD);
server="c228" – имя сервера с ресурсом;
path="sysvol" – имя файлового ресурса;
mountpoint="~/share" – путь монтирования. Для доменных пользователей WORK – имя ра-
бочей группы, share – каталог в домашней папке пользователя.
4.7 Групповые политики
Групповые политики – это набор правил и настроек для серверов и рабочих станций, реали-
зуемых в корпоративных решениях. В соответствии с групповыми политиками производится
настройка рабочей среды относительно локальных политик, действующих по умолчанию. В дан-
ном разделе рассмотрена реализация поддержки групповых политик Active Directory в решениях
на базе дистрибутивов ALT.
В дистрибутивах ALT для применения групповых политик на данный момент предлагается
использовать инструмент gpupdate. Инструмент рассчитан на работу на машине, введѐнной в
домен Samba.
Инструменты управления групповыми политиками будут установлены в систему, если при
установке дистрибутива отметить пункт «Инструменты управления групповыми политиками».
Интеграция в инфраструктуру LDAP-объектов Active Directory позволяет осуществлять
привязку настроек управляемых конфигураций объектам в дереве каталогов. Кроме глобальных
настроек в рамках домена, возможна привязка к следующим группам объектов:
80
подразделения (OU) – пользователи и компьютеры, хранящиеся в соответствующей части
дерева объектов;
сайты – группы компьютеров в заданной подсети в рамках одного и того же домена;
конкретные пользователи и компьютеры.
Кроме того, в самих объектах групповых политик могут быть заданы дополнительные
условия, фильтры и ограничения, на основании которых принимается решение о том, как приме-
нять данную групповую политику.
Политики подразделяются на политики для компьютеров (Machine) и политики для пользо-
вателей (User). Политики для компьютеров применяются на хосте в момент загрузки, а также в
момент явного или регулярного запроса планировщиком (раз в час). Пользовательские политики
применяются в момент входа в систему.
Групповые политики можно использовать для разных целей, например:
установки домашней страницы браузера Firefox/Chromium (экспериментальная политика).
Можно установить при использовании ADMX файлов Mozilla Firefox
(https://github.com/mozilla/policy-templates/releases) и Google Chrome
(https://dl.google.com/dl/edgedl/chrome/policy/policy_templates.zip) соответственно;
установки запрета на подключение внешних носителей;
управления политиками control (реализован широкий набор настроек). Можно установить
при использовании ADMX файлов ALT;
включения или выключения различных служб (сервисов systemd) Можно установить при
использовании ADMX файлов ALT;
подключения сетевых дисков (экспериментальная политика);
генерирования (удаления/замены) ярлыков для запуска программ;
создания каталогов;
установки и удаления пакетов (в стадии разработки).
Полный набор возможностей можно оценить, скачав файлы ADMX из репозитория
http://git.altlinux.org/gears/a/admx-basealt.git или https://github.com/altlinux/admx-basealt и загрузив
их в оснастку RSAT.
П р и м е ч а н и е . Модули (настройки), помеченные как экспериментальные, необходимо
включать вручную через ADMX файлы ALT в разделе «Групповые политики».
4.7.1 Развертывание групповых политик
Процесс развѐртывание групповых политик:
1. Развернуть сервер Samba AD DC (например, на машине с установленной ОС Альт Сервер).
81
2. Ввести машину в домен Active Directory по инструкции (см. Ввод рабочей станции в домен
Active Directory).
П р и м е ч а н и е . Должен быть установлен пакет alterator-gpupdate:
# apt-get install alterator-gpupdate
Для автоматического включения групповых политик, при вводе в домен, в окне ввода име-
ни и пароля пользователя, имеющего право вводить машины в домен, отметить пункт «Включить
групповые политики» (Рис. 79).
Пункт «Включить групповые политики»
Рис. 79
Политики будут включены сразу после ввода в домен (после перезагрузки системы).
П р и м е ч а н и е . Если машина уже находится в домене, можно вручную включить группо-
вые политики с помощью модуля alterator-gpupdate. Для этого в ЦУС в разделе «Система» →
«Групповые политики» следует выбрать шаблон локальной политики («Сервер», «Рабочая стан-
ция» или «Контроллер домена») и установить отметку в пункте «Управление групповыми полити-
ками» (Рис. 80).
Модуль ЦУС «Групповые политики»
Рис. 80
3. Ввести машину с ОС Windows в домен.
П р и м е ч а н и е . Управление сервером Samba с помощью RSAT поддерживается из среды
до Windows 2012R2 включительно
82
Включить компоненты удаленного администрирования. Для задания конфигурации с по-
мощью RSAT необходимо скачать файлы административных шаблонов (файлы ADMX) и завися-
щие от языка файлы ADML из репозитория http://git.altlinux.org/gears/a/admx-basealt.git
(https://github.com/altlinux/admx-basealt) и разместить их в каталоге
\\<DOMAIN>\SYSVOL\<DOMAIN>\Policies\PolicyDefinitions.
Корректно установленные административные шаблоны будут отображены в оснастке «Ре-
дактор управления групповыми политиками» в разделе «Конфигурация компьютера» → «Полити-
ки» → «Административные шаблоны» → «Система ALT» (Рис. 81).
Политики настройки систем ALT в консоли gpme.msc
Рис. 81
В оснастке «Active Directory – пользователи и компьютеры» создать подразделение (OU) и
переместить в него компьютеры и пользователей домена.
Политики создаются и редактируются на ОС Windows, применяются на рабочих станциях.
4.7.2 Пример создания групповой политики
В качестве примера, создадим политику, разрешающую запускать команду ping только
суперпользователю (root). Для создания новой политики, необходимо выполнить следующие дей-
ствия:
1. На машине с установленным RSAT открыть оснастку «Управление групповыми политика-
ми» (gpmc.msc).
2. Создать новый объект групповой политики (GPO) и связать его с подразделением (OU), в
который входят машины или учетные записи пользователей.
3. В контекстном меню GPO, выбрать пункт «Редактировать». Откроется редактор GPO.
4. Перейти в раздел «Конфигурация компьютера» → «Политики» → «Административные
шаблоны» → «Система ALT». Здесь есть несколько подразделов, соответствующих катего-
83
риям control. Выбрать раздел «Сетевые приложения», в правом окне редактора отобразится
список политик (Рис. 82).
Раздел «Сетевые приложения»
Рис. 82
5. Дважды щелкнуть левой кнопкой мыши на политике «Разрешения для /usr/bin/ping». От-
кроется диалоговое окно настройки политики (Рис. 83). Выбрать параметр «Включить», в
выпадающем списке «Кому разрешено выполнять» выбрать пункт «Только root» и нажать
кнопку «Применить».
84
Политика «Разрешения для /usr/bin/ping»
Рис. 83
6. После обновления политики на клиенте, выполнять команду ping сможет только админи-
стратор:
$ ping localhost
bash: ping: команда не найдена
$ /usr/bin/ping localhost
bash: /usr/bin/ping: Отказано в доступе
# control ping
restricted
П р и м е ч а н и е . Для диагностики механизмов применения групповых политик на клиенте
можно выполнить команду:
# gpoa --loglevel 0
В выводе команды будут фигурировать полученные групповые объекты. В частности, соот-
ветствующий уникальный код (GUID) объекта.
4.7.3 Инструмент ADMC
ADMC – инструмент для работы с доменом Active Directory и групповыми политиками.
Для использования программы следует сначала получить ключ Kerberos для администрато-
ра домена:
$ kinit administrator
85
Password for administrator@TEST.ALT:
Далее в этом же терминале необходимо запустить программу admc (Рис. 84):
$ admc
Интерфейс ADMC
Рис. 84
4.8 Ввод рабочей станции в домен FreeIPA
Ниже приведена инструкция по вводу рабочей станции под управлением
ОС «Альт Рабочая станция» в домен FreeIPA.
4.8.1 Установка FreeIPA клиента
Установить необходимые пакеты:
# apt-get install freeipa-client libsss_sudo krb5-kinit bind-utils
libbind zip task-auth-freeipa
П р и м е ч а н и е . Очистить конфигурацию freeipa-client невозможно. В случае если это
необходимо (например, для удаления, переустановки freeipa-client) следует переустановить систе-
му.
4.8.2 Настройка сети
Клиентские компьютеры должны быть настроены на использование DNS-сервера, который
был сконфигурирован на сервере FreeIPA во время его установки. В сетевых настройках необхо-
димо указать использовать сервер FreeIPA для разрешения имен. Эти настройки можно выполнить
как в графическом интерфейсе, так и в консоли:
86
в ЦУС в разделе «Сеть» → «Ethernet интерфейсы» задать имя компьютера, указать в поле
«DNS-серверы» IP-адрес FreeIPA сервера и в поле «Домены поиска» – домен для поиска
(Рис. 85);
в консоли:
задать имя компьютера:
# hostnamectl set-hostname comp02.example.test
добавить DNS сервер, для этого необходимо создать файл
/etc/net/ifaces/eth0/resolv.conf со следующим содержимым:
nameserver 192.168.0.113
где 192.168.0.113 – IP-адрес FreeIPA сервера.
указать службе resolvconf, использовать DNS FreeIPA и домен для поиска. Для этого
в файле /etc/resolvconf.conf добавить/отредактировать следующие парамет-
ры:
interface_order='lo lo[0-9]* lo.* eth0'
search_domains=example.test
где eth0 – интерфейс, на котором доступен FreeIPA сервер, example.test – домен.
обновить DNS адреса:
# resolvconf -u
87
Настройка на использование DNS-сервера FreeIPA
Рис. 85
В результате выполненных действий в файле /etc/resolvconf.conf должны появить-
ся строки:
search example.test
nameserver 192.168.0.113
П р и м е ч а н и е . После изменения имени компьютера могут перестать запускаться прило-
жения. Для решения этой проблемы необходимо перезагрузить систему.
4.8.3 Подключение к серверу в ЦУС
Для ввода рабочей станции в домен FreeIPA, необходимо в ЦУС перейти в раздел «Пользо-
ватели» → «Аутентификация».
В открывшемся окне следует выбрать пункт «Домен FreeIPA», заполнить поля «Домен» и
«Имя компьютера» (Рис. 86), затем нажать кнопку «Применить».
89
В случае успешного подключения, будет выведено соответствующее сообщение (Рис. 88).
Подключение к серверу FreeIPA
Рис. 88
Далее следует перезагрузить рабочую станцию.
4.8.4 Подключение к серверу в консоли
Запустить скрипт настройки клиента в пакетном режиме:
# ipa-client-install -U -p admin -w 12345678
или интерактивно:
# ipa-client-install
Если все настроено, верно, скрипт должен выдать такое сообщение:
'''Discovery was successful!'''
Client hostname: comp02.example.test
Realm: EXAMPLE.TEST
DNS Domain: example.test
IPA Server: ipa.example.test
BaseDN: dc=example,dc=test
Continue to configure the system with these values? [no]:
Необходимо ответить «yes», ввести имя пользователя, имеющего право вводить машины в
домен, и его пароль.
П р и м е ч а н и е . Если при входе в домен возникает такая ошибка:
Hostname (comp02.example.test) does not have A/AAAA record.
Failed to update DNS records.
Необходимо проверить IP-адрес доменного DNS сервера в файле /etc/resolv.conf.
В случае возникновения ошибки, необходимо перед повторной установкой запустить про-
цедуру удаления:
# ipa-client-install -U --uninstall
Для работы sudo-политик для доменных пользователей на клиентской машине необходимо
разрешить доступ к sudo:
# control sudo public
90
4.8.5 Вход пользователя
В окне входа в систему (Рис. 89) необходимо ввести логин учетной записи пользователя
FreeIPA и нажать кнопку «Войти», в открывшемся окне ввести пароль, соответствующий этой
учетной записи и нажать кнопку «Войти».
При первом входе пользователя будет запрошен текущий (установленный администрато-
ром) пароль и затем у пользователя запрашивается новый пароль и его подтверждение (Рис. 90).
Вход пользователя
Рис. 89
91
Запрос текущего пароля и нового пароля при первом подключении к серверу FreeIPA
Рис. 90
92
5 СРЕДСТВА УДАЛЕННОГО АДМИНИСТРИРОВАНИЯ
5.1 Вход в систему
Начать работу по настройке системы можно сразу после еѐ установки, используя для
настройки «Центр управления системой» – веб-ориентированный интерфейс, позволяющий
управлять рабочей станцией с любого компьютера сети (см. раздел «Использование веб-
ориентированного ЦУС»).
5.2 Развѐртывание офисной ИТ-инфраструктуры
5.2.1 Подготовка
Перед началом развѐртывания офисной ИТ-инфраструктуры необходимо провести деталь-
ное планирование. Конкретные решения в каждом случае будут продиктованы спецификой требо-
ваний, предъявляемых к офисной ИТ-инфраструктуре. Как будет использоваться
ОС «Альт Рабочая станция» зависит от каждого конкретного случая. При этом важно понимать
принципы взаимодействия компьютеров в сети и роль каждого конкретного компьютера: главный
сервер, подчинѐнный сервер или компьютер-клиент (рабочее место).
5.2.2 Домен
Под доменом понимается группа компьютеров с разными ролями. Каждый сервер обслу-
живает один домен – группу компьютеров одной сети, имеющую единый центр и использующую
единые базы данных для различных сетевых служб.
С помощью «Домена» можно:
вести централизованную базу пользователей и групп;
аутентифицировать пользователей и предоставлять им доступ к сетевым службам без по-
вторного ввода пароля;
использовать единую базу пользователей для файлового сервера, прокси-сервера, веб-
приложений (например, MediaWiki);
автоматически подключать файловые ресурсы с серверов, анонсированных по Zeroconf;
использовать тонкие клиенты, загружаемые по сети и использующие сетевые домашние ка-
талоги;
аутентифицировать пользователей как на Linux, так и на Microsoft Windows.
5.2.3 Сервер, рабочие места и аутентификация
Важно понимать роль, которая будет отводиться ОС Альт в домене. Именно сервер (обыч-
нопод управлением ОС «Альт Сервер») будет являться центральным звеном сети, контролируя
доступ к ресурсам сети и предоставляя различные службы для клиентских машин. Все службы,
предоставляемые серверами, используются рабочими местами.
93
Таким образом, можно выделить:
Сервер (компьютер под управлением ОС «Альт Сервер») – осуществляет контроль до-
ступа к ресурсам сети, содержит централизованную базу данных пользователей и удостоверяю-
щий центр для выдачи сертификатов службам на серверах и рабочих местах.
Рабочие места – это клиентские, по отношению к серверам, компьютеры, непосредственно,
использующиеся для работы пользователей.
Наибольший эффект от использования ОС «Альт Сервер» достигается при использовании
его вместе с рабочими местами под управлением ОС «Альт Рабочая станция». Они уже содержат
всѐ необходимое для интеграции в сеть с ОС «Альт Сервер». Конечно, в качестве рабочих мест
могут использоваться и другие операционные системы. Однако часть возможностей и преиму-
ществ при этом может быть потеряна. Также возможно, на стороне компьютера-клиента потребу-
ется дополнительная настройка.
Для доступа к ресурсам сети (например, общим файлам, расположенным на сервере, либо
получения доступа в сеть Интернет) пользователю, работающему на клиентском компьютере,
необходимо авторизоваться на сервере — ввести свои данные (имя и пароль). После проверки
аутентификации главным сервером, пользователь получает определѐнный администратором доме-
на объѐм прав доступа к ресурсам сети.
Авторизация
Типичный пример – офисное рабочее место, постоянно находящееся в локальной сети. В
этом случае аутентификация в домене происходит непосредственно в момент регистрации пользо-
вателя на рабочем месте (с доменными аутентификационными данными).
5.3 Централизованная база пользователей
Основной идеей домена является единая база учѐтных записей. При такой организации
работы пользователям требуется лишь одна единственная учѐтная запись для доступа ко всем
разрешѐнным администратором сети ресурсам. Наличие в сети единой централизованной базы
пользователей позволяет значительно упростить работу, как самих пользователей, так и
системных администраторов.
5.3.1 Создание учѐтных записей пользователей
Централизованная база пользователей создаѐтся на главном сервере. Наполнить еѐ
учѐтными записям можно воспользовавшись модулем ЦУС «Пользователи» (пакет alterator-ldap-
users) из раздела «Пользователи».
Для выбора источника данных о пользователях, необходимо нажать кнопку «Выбор
источника» (Рис. 91), выбрать источник и нажать кнопку «Применить» (Рис. 92).
94
Создание учѐтной записи пользователя в модуле «Пользователи»
Рис. 91
Выбор источника списка пользователей в модуле «Пользователи»
Рис. 92
Возможные варианты источника данных о пользователях:
текущий метод аутентификации (выбирается в модуле «Аутентификация»);
файл /etc/passwd (выбран по умолчанию);
локальная база LDAP;
база LDAP на другом сервере;
локальная база Samba DC.
Для создания новой учѐтной записи необходимо ввести имя новой учѐтной записи и нажать
кнопку «Создать», после чего имя отобразится в списке слева. Для дополнительных настроек
95
необходимо выделить существующую учѐтную запись, выбрав еѐ из списка (Рис. 91). Список
доступных полей зависит от выбранного источника данных о пользователях.
После создания учѐтной записи пользователя следует присвоить учѐтной записи пароль.
Этот пароль и будет использоваться пользователем для регистрации в домене. После этого на
рабочих местах, на которых для аутентификации установлен этот домен, можно вводить это имя
пользователя и пароль.
5.3.2 Объединение пользователей в группы
Пользователи могут быть объединены в группы. Это может быть полезно для более точного
распределения полномочий пользователей. Например, члены группы wheel могут получать
полномочия администратора на локальной машине, выполнив команду:
$ su –
Настройка групп производится в модуле ЦУС «Группы» (раздел «Пользователи»). С
помощью данного модуля можно:
просматривать актуальный список групп и список пользователей, входящих в каждую
группу;
создавать и удалять группы;
добавлять и удалять пользователей в существующие группы;
привязывать группу к системным группам и группам Samba.
Для выбора источника списка групп, необходимо нажать кнопку «Выбор источника»
(Рис. 93) и выбрать источник (Рис. 94).
Настройка членства пользователей в группах
Рис. 93
96
Выбор источника списка групп в модуле «Группы»
Рис. 94
Возможные варианты источника данных о группах:
текущий метод аутентификации (выбирается в модуле «Аутентификация»);
файл /etc/group (выбран по умолчанию);
локальная база LDAP;
база LDAP на другом сервере;
локальная база Samba DC.
Для создания новой группы необходимо ввести название группы и нажать кнопку
«Создать» (Рис. 93), после чего имя отобразится в списке слева.
Во вкладке «Учѐтная запись» можно настроить принадлежность учѐтной записи группам
(Рис. 93). Для этого необходимо в списке групп выделить группу, к которой нужно добавить
(удалить) пользователей. В списке «Члены группы» отображается информация о членах
выделенной группы. В списке «Доступные пользователи» отображается список пользователей
системы. Для включения пользователя в группу необходимо выбрать пользователя в списке
«Доступные пользователи» и нажать кнопку . Для исключения пользователя из группы
необходимо выбрать пользователя в списке «Члены группы» и нажать кнопку .
Во вкладке «Привязка групп» можно привязать группу к системной группе или к группе
Samba (Рис. 95).
Привязка к системной группе позволяет включать доменных пользователей в системные
группы при регистрации на рабочей станции.
97
Привязка групп
Рис. 95
Привязка к группе Samba позволяет создавать группы Samba, которые могут
использоваться для установки прав доступа на рабочих станциях под управлением операционной
системы Windows, которые аутентифицируются в ALT-домене.
5.3.3 Настройка рабочей станции
Настройка рабочих станций для использования централизованной аутентификации
производится в ЦУС (графический интерфейс) в разделе «Аутентификация» (Рис. 96).
После выбора домена, для полного вступления изменений с силу необходимо перезагрузить
систему.
После перезагрузки у пользователя появится возможность авторизоваться с
использованием централизованной аутентификации.
5.4 Настройка подключения к Интернету
Помимо множества различных служб, которые ОС «Альт Рабочая станция» может предо-
ставлять компьютерам сети, важно определить, будет ли сервер предоставлять общий доступ в
Интернет для компьютеров домена или нет. В зависимости от этого сервер можно рассматривать
как:
Сервер без подключения к сети Интернет – это сервер с одним сетевым интерфейсом (од-
ной сетевой картой), который и связывает его с компьютерами локальной сети. Такой сер-
вер называется также сервер рабочей группы.
98
Шлюз – в этом случае сервер обычно имеет два сетевых интерфейса (например, две сетевые
карты), одна из которых служит для подключения к локальной сети, а другая – для под-
ключения к сети Интернет.
Настройка рабочей станции
Рис. 96
ОС «Альт Рабочая станция» поддерживает самые разные способы подключения к сети Ин-
тернет:
Ethernet;
PPTP;
PPPoE;
и т.д.
Для настройки подключения можно воспользоваться одним из разделов ЦУС «Сеть»:
Ethernet-интерфейсы;
PPTP-соединения;
99
PPPoE-соединения;
OpenVPN-соединения.
5.4.1 Конфигурирование сетевых интерфейсов
Конфигурирование сетевых интерфейсов осуществляется в модуле ЦУС «Ethernet-
интерфейсы» (пакет alterator-net-eth) из раздела раздел «Сеть» (Рис. 97).
Настройка модуля «Ethernet-интерфейсы»
Рис. 97
В модуле «Ethernet-интерфейсы» можно заполнить следующие поля:
«Имя компьютера» – указать сетевое имя ПЭВМ в поле для ввода имени компьютера (это
общий сетевой параметр, не привязанный к какому либо конкретному интерфейсу). Имя
компьютера, в отличие от традиционного имени хоста в Unix (hostname), не содержит
названия сетевого домена;
«Интерфейсы» – выбрать доступный сетевой интерфейс, для которого будут выполняться
настройки;
«Версия протокола IP» – указать в выпадающем списке версию используемого протокола
IP (IPv4, IPv6) и убедиться, что пункт «Включить», обеспечивающий поддержку работы
протокола, отмечен;
«Конфигурация» – выбрать способ назначения IP-адресов (службы DHCP, Zeroconf, вруч-
ную);
100
«IP-адреса» – пул назначенных IP-адресов из поля «IP», выбранные адреса можно удалить
нажатием кнопки «Удалить»;
«IP» – ввести IP-адрес вручную и выбрать в выпадающем поле предпочтительную маску
сети, затем нажать кнопку «Добавить» для переноса адреса в пул поля «IP-адреса»;
«Шлюз по умолчанию» – в поле для ввода необходимо ввести адрес шлюза, который будет
использоваться сетью по умолчанию;
«DNS-серверы» – в поле для ввода необходимо ввести список предпочтительных DNS-
серверов, которые будут получать информацию о доменах, выполнять маршрутизацию по-
чты и управлять обслуживающими узлами для протоколов в домене;
«Домены поиска» – в поле для ввода необходимо ввести список предпочтительных доме-
нов, по которым будет выполняться поиск.
«IP-адрес» и «Маска сети» – обязательные параметры каждого узла IP-сети. Первый
параметр – уникальный идентификатор машины, от второго напрямую зависит, к каким машинам
локальной сети данная машина будет иметь доступ. Если требуется выход во внешнюю сеть, то
необходимо указать параметр «Шлюз по умолчанию».
В случае наличия DHCP-сервера можно все вышеперечисленные параметры получить
автоматически – выбрав в списке «Конфигурация» пункт «Использовать DHCP» (Рис. 98).
Автоматическое получение настроек от DHCP сервера
Рис. 98
101
Если в компьютере имеется несколько сетевых карт, то возможна ситуация, когда при
очередной загрузке ядро присвоит имена интерфейсов (eth0, eth1) в другом порядке. В результате
интерфейсы получат не свои настройки. Чтобы этого не происходило, можно привязать интерфейс
к имени по его аппаратному адресу (MAC) или по местоположению на системной шине.
Дополнительно для каждого интерфейса можно настроить сетевую подсистему
(NetworkManager, Etcnet), а также должен ли запускаться данный интерфейс при загрузке системы
(Рис. 99).
Выбор сетевой подсистемы
Рис. 99
В списке «Сетевая подсистема» можно выбрать следующие режимы:
«Etcnet» – в этом режиме настройки берутся исключительно из файлов находящихся в ка-
талоге настраиваемого интерфейса /etc/net/ifaces/<интерфейс>. Настройки сети
могут изменяться либо в ЦУС в данном модуле, либо напрямую через редактирование фай-
лов /etc/net/ifaces/<интерфейс>;
«NetworkManager (etcnet)» – в этом режиме NetworkManager сам инициирует сеть, исполь-
зуя в качестве параметров – настройки из файлов Etcnet. Настройки сети могут изменяться
либо в ЦУС в данном модуле, либо напрямую через редактирование файлов
/etc/net/ifaces/<интерфейс>. В этом режиме можно просмотреть настройки сети,
например полученный по DHCP IP-адрес, через графический интерфейс NetworkManager;
«NetworkManager (native)» – в данном режиме управление настройками интерфейса переда-
ѐтся NetworkManager и не зависит от файлов Etcnet. Управлять настройками можно через
графический интерфейс NetworkManager. Файлы с настройками находятся в каталоге
/etc/NetworkManager/system-connections. Этот режим особенно актуален для
задач настройки сети на клиенте, когда IP-адрес необходимо получать динамически с по-
мощью DHCP, а DNS-сервер указать явно. Через ЦУС так настроить невозможно, так как
при включении DHCP отключаются настройки, которые можно задавать вручную;
«Не контролируется» – в этом режиме интерфейс находится в состоянии DOWN (выклю-
чен).
102
5.4.2 Настройка общего подключения к сети Интернет
Пользователи корпоративных сетей обычно подключаются к сети Интернет через один об-
щий канал. Для организации совместного доступа к сети Интернет стандартными средствами под-
держиваются две технологии, которые могут использоваться как по отдельности, так и совместно:
использование прокси-сервера;
использование NAT.
Оба способа предполагают, что соединение с Интернет компьютера, через который предпо-
лагается настроить общий выход, предварительно сконфигурировано.
Прокси-сервер 5.4.2.1
Отличительной особенностью использования прокси-сервера является то, что, помимо
предоставления доступа к веб-сайтам, прокси-сервер кэширует загруженные страницы, а при
повторном обращении к ним – отдаѐт их из своего кэша. Это может существенно снизить
потребление трафика.
У прокси-сервера есть два основных режима работы:
прозрачный;
обычный.
Для работы с прокси-сервером в прозрачном режиме специальная настройка рабочих
станций не потребуется. Они лишь должны использовать сервер в качестве шлюза по умолчанию.
Этого можно добиться, сделав соответствующие настройки на DHCP-сервере.
Для использования прокси-сервера в обычном режиме потребуется на каждом клиенте в
настройках браузера указать данные прокси-сервера (IP-адрес и порт).
Преимуществом обычного режима работы, требующего перенастройки программ локаль-
ной сети, является возможность производить аутентификацию пользователей и контролировать их
доступ во внешнюю сеть.
По умолчанию прокси-сервер не предоставляет доступ в Интернет никому кроме себя са-
мого. Список сетей, обслуживаемых прокси-сервером можно изменить, нажав на кнопку «Разре-
шѐнные сети…» в модуле ЦУС «Прокси-сервер» (пакет alterator-squid) из раздела «Серверы»
(Рис. 100).
103
Модуль «Прокси-сервер»
Рис. 100
Для того чтобы включить аутентификацию пользователей и контролировать их доступ во
внешнюю сеть, необходимо выбрать обычный режим проксирования и способ аутентификации,
отличный от «Без аутентификации» (Рис. 101).
Настройка аутентификации пользователей
Рис. 101
Прокси-сервер принимает запросы из локальной сети и, по мере необходимости, передаѐт
их во внешнюю сеть. Поступление запроса ожидается на определѐнном порту, который по умол-
чанию имеет стандартный номер 3128.
104
Перед тем как выполнить перенаправление запроса, прокси-сервер проверяет принадлеж-
ность сетевого адрес узла, с которого запрос был отправлен к группе внутренних сетевых адресов.
Для того чтобы запросы, отправленные из локальной сети, обрабатывались прокси-сервером,
необходимо добавить соответствующую группу адресов (адрес подсети и адресную маску) в спи-
сок внутренних сетей в разделе «Разрешѐнные сети» (Рис. 102).
Настройка списка внутренних сетей
Рис. 102
Вторым условием передачи запроса является принадлежность целевого порта к разрешѐн-
ному диапазону. Посмотреть и отредактировать список разрешѐнных целевых портов можно в
разделе «Разрешѐнные протоколы» (Рис. 103).
105
Настройка списка разрешѐнных целевых портов
Рис. 103
Прокси-сервер позволяет вести статистику посещений страниц в Интернете. Она доступна в
модуле ЦУС «Прокси-сервер» (пакет alterator-squidmill) в разделе «Статистика». Основное пред-
назначение статистики – просмотр отчѐта об объѐме полученных из Интернета данных в привязке
к пользователям (если включена аутентификация) или к IP-адресам клиентов.
NAT 5.4.2.2
NAT (Network Address Translation, преобразование сетевых адресов) – это механизм в сетях
TCP/IP, позволяющий преобразовывать IP-адреса транзитных пакетов. Таким образом, компьюте-
ры локальной сети, имеющие IP-адреса, зарезервированные для использования исключительно в
локальных сетях, могут использовать общий канал доступа к сети Интернет (общий внешний IP-
адрес). При этом на компьютере-шлюзе, непосредственно подключѐнном к сети Интернет, выпол-
няется преобразование адресов.
Настройка NAT осуществляется в модуле ЦУС «Внешние сети» (пакет alterator-net-iptables)
из раздела «Брандмауэр». Для минимальной настройки достаточно выбрать режим работы Шлюз
(NAT), отметить правильный внешний сетевой интерфейс (Рис. 104) и нажать на кнопку «Приме-
нить».
106
Настройка NAT в модуле «Внешние сети»
Рис. 104
5.4.3 Автоматическое присвоение IP-адресов (DHCP-сервер)
DHCP (Dynamic Host Configuration Protocol) – протокол, позволяющий клиенту
самостоятельно получить IP-адрес из зарезервированного диапазона адресов, а также
дополнительную информацию о локальной сети (DNS-сервер сети, домен поиска, шлюз по
умолчанию).
Чтобы настраивать DHCP-сервер, на машине должен быть хотя бы один статически
сконфигурированный Ethernet-интерфейс.
Настройка DHCP-сервера осуществляется в модуле ЦУС «DHCP-сервер» (пакет alterator-
dhcp) из раздела «Серверы».
Для включения DHCP-сервера необходимо установить флажок «Включить службу DHCP»
(Рис. 105), указать начальный и конечный IP-адрес, а также шлюз по умолчанию (обычно, это IP-
адрес сервера на сетевом интерфейсе, обслуживающем локальную сеть).
Теперь при включении любой клиентской машины с настройкой «получение IP и DNS
автоматически» будет присваиваться шлюз 192.168.8.250, DNS 192.168.8.251 и адреса начиная с
192.168.8.50 по порядку включения до 192.168.8.60.
107
Настройка модуля DHCP-сервер
Рис. 105
Иногда бывает полезно выдавать клиенту один и тот же IP-адрес независимо от момента
обращения. В этом случае он определяется по аппаратному адресу (MAC-адресу) сетевой карты
клиента. Для добавления своих значений в таблицу соответствия статических адресов следует
ввести IP-адрес и соответствующий ему MAC-адрес и нажать кнопку «Добавить» (Рис. 106).
Привязка IP-адреса к MAC-адресу
Рис. 106
Выданные IP-адреса можно увидеть в списке «Текущие динамически выданные адреса»
(Рис. 107). Также имеется возможность зафиксировать выданные адреса, за данными
компьютерами. Для этого необходимо отметить хост, за которым нужно закрепить IP-адрес и
нажать кнопку «Зафиксировать адрес для выбранных компьютеров».
108
Список динамически выданных адресов
Рис. 107
5.5 Развертывание доменной структуры
Для развертывания доменной структуры предназначен модуль ЦУС «Домен» из раздела
«Система» (пакет alterator-net-domain) (Рис. 108).
Настройка модуля «Домен»
Рис. 108
Модуль поддерживает следующие виды доменов:
ALT-домен. Домен, основанный на OpenLDAP и MIT Kerberos. Рекомендуется для аутен-
тификации рабочих станций под управлением дистрибутивов ALT. Домен нужно устанав-
ливать только после настройки сервера DHCP. В противном случае придѐтся выбирать дру-
гое имя домена.
Active Directory. Домен для контроллера домена Samba AD. Рекомендуется для аутентифи-
кации рабочих станций под управлением и Windows и Linux.
109
FreeIPA. Домен для контроллера домена FreeIPA. Рекомендуется для аутентификации ра-
бочих станций под управлением Linux.
DNS. Обслуживание только запросов DNS указанного домена сервисом BIND.
5.6 Сетевая установка операционной системы на рабочие места
Одной из удобных возможностей ОС «Альт Рабочая станция» при разворачивании
инфраструктуры является сетевая установка. При помощи сетевой установки можно производить
установку дистрибутивов не с DVD-диска, а загрузив инсталлятор по сети.
5.6.1 Подготовка сервера
Перед началом установки рабочих станций следует произвести предварительную настройку
сервера: задать имя сервера (модуль «Ethernet-интерфейсы» в «Центре управления системой»),
включить DHCP-сервер (модуль «DHCP-сервер»), задать имя домена (модуль «Домен»).
Примечание. При сетевой установке с сервера будут переняты настройки домена и будет
включена централизованная аутентификация. Если ОС «Альт Рабочая станция» устанавливается с
DVD-диска, то настройку домена и аутентификации надо будет производить отдельно на каждой
рабочей стации.
Перед активацией сетевой установки потребуется импортировать установочный DVD-диск
ОС, предварительно вставив его в DVD-привод сервера, либо можно использовать образ диска,
расположенный на файловой системе на сервере. В разделе «Сервер сетевых установок» (пакет
alterator-netinst) (Рис. 109), необходимо указать, откуда импортировать новый образ и нажать
кнопку «Добавить». Процесс добавления занимает какое-то время.
Импорт установочного образа
Рис. 109
После добавления образа он появится в списке «Доступные образы дисков». Необходимо
выбрать из списка один из образов (Рис. 110) и нажать кнопку «Выбрать». На этом подготовка
сервера к сетевой установке рабочих станций завершена.
110
Выбор образа диска
Рис. 110
Дополнительно данный модуль позволяет выбрать вариант загрузки (например, непосред-
ственно загружать ОС некоторых Live-версий дистрибутивов).
Далее необходимо выбрать направление соединения (Рис. 111). Удалѐнный доступ к ком-
пьютеру бывает двух видов:
1. Со стороны клиента. Во время установки администратор может с помощью VNC-клиента
подключиться к компьютеру, на которой производится установка, зная его IP-адрес и за-
данный пароль.
2. Со стороны сервера. Во время установки с каждого компьютера инициируется подключе-
ние к запущенному на заданном компьютере VNC-клиенту. Компьютер-приѐмник соедине-
ний задаѐтся IP-адресом или именем.
Выбор направления соединения
Рис. 111
В случае, когда работа с аппаратной подсистемой ввода-вывода невозможна (например,
если клавиатура, мышь или монитор отсутствуют), можно использовать вариант «Только по
VNC».
111
Если необходимо управлять установкой удалѐнно, необходимо отметить пункт «Включить
установку по VNC» и пункт «Подключение со стороны VNC сервера» раздела «Направление
соединения», и там указать адрес компьютера, с которого будет происходить управление. Для
приѐма подключения можно запустить, например, vncviewer -listen.
П р и м е ч а н и е . По окончании процесса установки ОС на рабочих станциях необходимо
отключить сетевую установку. Это можно сделать, выбрав в списке «Доступные образы дисков»
пункт «Нет образа» и подтвердив действие нажатием кнопки «Выбрать».
5.6.2 Подготовка рабочих станций
Для сетевой установки следует обеспечить возможность загрузки по сети рабочих станций,
на которых будет производиться установка ОС.
Большинство современных материнских плат имеют возможность загрузки по сети, однако
она по умолчанию может быть отключена в BIOS. Различные производители материнских плат
дают разные названия данной возможности, например: «Boot Option ROM» или «Boot From From
Onboard LAN».
Последовательность установки при установке с DVD-диска и при сетевой установке не
отличаются друг от друга.
5.7 Соединение удалѐнных офисов (OpenVPN-сервер)
ОС «Альт Рабочая станция» предоставляет возможность безопасного соединения
удалѐнных офисов, используя технологию VPN (англ. Virtual Private Network – виртуальная
частная сеть), которая позволяет организовать безопасные шифрованные соединения через
публичные сети (например, Интернет) между удалѐнными офисами или локальной сетью и
удалѐнными пользователями. Таким образом, можно связать два офиса организации, что, делает
работу с документами, расположенными в сети удалѐнного офиса, более удобной. Помимо
соединения целых офисов, также существует возможность организовать доступ в офисную сеть
для работы в ней извне. Это означает, например, что сотрудник может работать в своѐм
привычном окружении, даже находясь в командировке или просто из дома.
5.7.1 Настройка OpenVPN-сервера
Модуль «OpenVPN-сервер» (пакет alterator-openvpn-server) из раздела «Серверы» позволяет
задать параметры OpenVPN-сервера (Рис. 112).
112
Модуль «OpenVPN-сервер»
Рис. 112
Используя модуль «OpenVPN-сервер» можно:
включить/отключить OpenVPN-сервер;
настроить параметры сервера: тип, сети сервера, использование сжатия и т.д.;
управлять сертификатами сервера;
настроить сети клиентов.
Особое внимание при планировании и настройке подключений следует обратить на
используемые сети. Они не должны пересекаться.
Для создания соединения необходимо установить флажок «Включить службу OpenVPN»,
выбрать тип подключения: маршрутизируемое (используется TUN) или через мост (используется
TAP) и проверить открываемую по соединению сеть (обычно это локальная сеть в виде IP-адреса и
маски подсети).
Для настройки сертификата и ключа ssl необходимо нажать на кнопку «Сертификат и ключ
ssl..». Откроется окно модуля «Управление ключами SSL» (пакет alterator-sslkey) (Рис. 113).
113
Модуль «Управление ключами SSL»
Рис. 113
Здесь нужно заполнить поле «Общее имя (CN)» и поле «Страна (С)» (прописными
буквами), отметить пункт «(Пере)создать ключ и запрос на подпись» и нажать кнопку
«Подтвердить». После чего станет активной кнопка «Забрать запрос на подпись» (Рис. 114).
Забрать запрос на подпись
Рис. 114
Если нажать на кнопку «Забрать запрос на подпись», появится диалоговое окно с
предложением сохранить файл openvpn-server.csr. Необходимо сохранить этот файл на
диске.
В модуле «Управление ключами SSL» появился новый ключ: «openvpn-server (Нет
сертификата)» (Рис. 115).
114
Ключ openvpn-server
Рис. 115
Чтобы подписать сертификат необходимо перейти в модуль «Удостоверяющий Центр»
→«Управление сертификатами», нажать кнопку «Обзор», указать путь до полученного файла
openvpn-server.csr и загрузить запрос (Рис. 116).
Запрос на подпись сертификата
Рис. 116
В результате на экране появится две группы цифр и кнопка «Подписать» (Рис. 117).
Необходимо нажать на кнопку «Подписать» и сохранить файл output.pem (подписанный
сертификат).
Запрос на подпись сертификата
Рис. 117
115
Далее в разделе «Управление ключами SSL», необходимо выделить ключ «openvpn-server
(Нет сертификата)» и нажать кнопку «Изменить». В появившемся окне, в пункте «Положить
сертификат, подписанный УЦ» нужно нажать кнопку «Обзор», указать путь до файла
output.pem и нажать кнопку «Положить» (Рис. 118).
Сертификат, подписанный УЦ
Рис. 118
В модуле «Управление ключами SSL», видно, что ключ openvpn-server (истекает_и_дата)
изменился. Ключ создан и подписан.
Для того чтобы положить сертификат УЦ, необходимо найти его в модуле
«Удостоверяющий Центр», нажать на ссылку «Управление УЦ» и забрать сертификат, нажав на
ссылку «Сертификат: ca-root.pem» (Рис. 119).
Сертификат УЦ
Рис. 119
В модуле «OpenVPN-сервер», в графе «Положить сертификат УЦ»: при помощи кнопки
«Обзор» указать путь к файлу ca-root.pem и нажать кнопку «Положить» (Рис. 120).
Выбор сертификата УЦ в модуле «OpenVPN-сервер»
Рис. 120
Появится сообщение: «Сертификат УЦ успешно загружен».
Для включения OpenVPN необходимо отметить пункт «Включить службу OpenVPN» и
нажать кнопку «Применить».
5.7.2 Настройка клиентов
Со стороны клиента соединение настраивается в модуле «OpenVPN-соединения» (пакет
alterator-net-openvpn) из раздела «Сеть». Доступ к настроенной приватной сети могут получить
пользователи, подписавшие свои ключи и получившие сертификат в удостоверяющем центре на
том же сервере.
116
Для создания нового соединения необходимо отметить пункт «Сетевой туннель (TUN)» или
«Виртуальное Ethernet устройство (TAP)» и нажать кнопку «Создать соединение» (Рис. 121). Дол-
жен быть выбран тот же тип, что и на стороне сервера.
Создание нового OpenVPN- соединения
Рис. 121
Неоходимо обратить внимание, что на стороне клиента, должен быть выбран тот же тип
виртуального устройства, что и на стороне сервера. Для большинства случаев подходит маршру-
тизируемое подключение.
Помимо этого нужно подписать ключ openvpn в модуле «Удостоверяющий Центр» (пакет
alterator-ca) на сервере.
В результате станут доступны настройки соединения (Рис. 122).
Модуль «OpenVPN- соединения»
Рис. 122
117
На клиенте в модуле «OpenVPN-соединение» необходимо указать:
состояние – «запустить»;
сервер – IP адрес сервера или домен;
порт – 1194;
ключ – выбрать подписанный на сервере ключ.
Для применения настроек, нажать кнопку «Применить». Состояние с «Выключено» должно
поменяться на «Включено».
Проверить, появилось ли соединение с сервером можно командой:
$ ip addr
Должно появиться новое соединение tun1. При обычных настройках это может выглядеть
так:
tun1: <POINTOPOINT,MULTICAST,NOARP,UP,LOWER_UP> mtu 1500 qdisc
pfifo_fast state UNKNOWN qlen 100
link/[none]
inet 10.8.0.6 peer 10.8.0.5/32 scope global tun0
5.8 Доступ к службам из сети Интернет
5.8.1 Внешние сети
ОС предоставляет возможность организовать доступ к своим службам извне. Например,
можно предоставить доступ к корпоративному веб-сайту из сети Интернет. Для обеспечения такой
возможности необходимо разрешить входящие соединения на внешних интерфейсах. По
умолчанию такие соединения блокируются.
Для разрешения внешних и внутренних входящих соединений предусмотрен раздел ЦУС
«Брандмауэр». В списке «Разрешить входящие соединения на внешних интерфейсах» модуля
«Внешние сети» (пакет alterator-net-iptables) перечислены наиболее часто используемые службы,
отметив которые, можно сделать их доступными для соединений на внешних сетевых
интерфейсах (Рис. 123). Если необходимо предоставить доступ к службе, отсутствующей в списке,
то нужно задать используемые этой службой порты в соответствующих полях.
118
Модуль «Внешние сети»
Рис. 123
Можно выбрать один из двух режимов работы:
роутер – перенаправление пакетов между сетевыми интерфейсами происходит без трансля-
ции сетевых адресов;
шлюз (NAT) – в этом режиме будет настроена трансляция сетевых адресов (NAT) при пе-
ренаправлении пакетов на внешние интерфейсы. Использование этого режима имеет
смысл, если на компьютере настроен, по крайней мере, один внешний и один внутренний
интерфейс.
В любом режиме включено только перенаправление пакетов с внутренних интерфейсов.
Перенаправление пакетов с внешних интерфейсов всегда выключено. Все внутренние интерфейсы
открыты для любых входящих соединений.
5.8.2 Список блокируемых хостов
Модуль «Список блокируемых хостов» (пакет alterator-net-bl) позволяет настроить блоки-
ровку любого сетевого трафика с указанных в списке узлов (входящий, исходящий и пересылае-
мый).
Блокирование трафика с указанных в списке узлов начинается после установки флажка
«Использовать чѐрный список» (Рис. 124).
119
Модуль «Список блокируемых хостов»
Рис. 124
Для добавления блокируемого узла необходимо ввести IP-адрес в поле «Добавить IP адрес
сети или хоста» и нажать кнопку «Добавить».
Для удаления узла необходимо выбрать его из списка и нажать кнопку «Удалить».
5.9 Статистика
5.9.1 Сетевой трафик
Все входящие и исходящие с сервера сетевые пакеты могут подсчитываться, и выводится
по запросу для анализа.
Модуль «Сетевой трафик» (пакет alterator-ulogd) из раздела «Статистика» предназначен для
просмотра статистики входящих и исходящих сетевых пакетов. Данный модуль позволяет оценить
итоговый объѐм полученных и переданных данных за всѐ время работы ОС, за определѐнный пе-
риод времени и по каждой службе отдельно.
Для включения сбора данных необходимо установить флажок «Включить сбор данных», и
нажать кнопку «Применить» (Рис. 125).
Для просмотра статистики указывается период (в виде начальной и конечной дат). Дата
указывается в формате YYYY-MM-DD (год-месяц-день) или выбирается из календаря справа от
поля ввода даты. Из списка доступных сетевых интерфейсов необходимо выбрать интересующий
и нажать на кнопку «Показать».
Трафик на указанном интерфейсе за заданный период показывается в виде:
служба (название протокола);
входящий трафик в килобайтах;
исходящий трафик в килобайтах.
120
Просмотр статистики входящих и исходящих пакетов
Рис. 125
5.9.2 Прокси-сервер
Пересылка каждого запроса во внешнюю сеть фиксируется прокси-сервером в специальном
журнале. На основании этих данных автоматически формируются отчѐты о статистике
использования ресурсов сети, в том числе потраченного времени и количества переданных данных
(трафика).
Статистика не собирается по умолчанию. Включить еѐ сбор следует в модуле ЦУС
«Прокси-сервер» (пакет alterator-squidmill) из раздела «Статистика». Для включения сбора
статистики прокси-сервера необходимо установить флажок «Включить сбор данных прокси-
сервера» (Рис. 126).
Настройка сбора статистики прокси-сервера
Рис. 126
121
В том случае, если на прокси-сервере производилась аутентификация пользователей,
отчѐты будут содержать данные об обращениях каждого пользователя. Иначе отчѐты будут
формироваться только на основании адресов локальной сети.
Для показа отчѐта необходимо задать условия фильтра и нажать кнопку «Показать».
Данные в таблице отсортированы по объѐму трафика в порядке убывания.
Для учѐта пользователей в статистике необходимо добавить хотя бы одно правило. Самое
очевидное правило – запрет неаутентифиуцированных пользователей. Только после этого в стати-
стике начнут показываться пользователи.
5.10 Обслуживание рабочей станции
Регулярный мониторинг состояния рабочей станции, своевременное резервное
копирование, обновление установленного ПО, являются важной частью комплекса работ по
обслуживанию рабочей станции.
5.10.1 Мониторинг состояния системы
Для обеспечения бесперебойной работы рабочей станции крайне важно производить
постоянный мониторинг ее состояния. Все события, происходящие с рабочей станцией,
записываются в журналы, анализ которых помогает избежать сбоев в работе и предоставляет
возможность разобраться в причинах некорректной работы.
Для просмотра журналов предназначен модуль ЦУС «Системные журналы» (пакет alterator-
logs) из раздела «Система». Интерфейс позволяет просмотреть различные типы журналов с
возможностью перехода к более старым или более новым записям.
Различные журналы могут быть выбраны из списка «Журналы» (Рис. 127).
Модуль «Системные журналы»
Рис. 127
122
Доступны следующие виды журналов:
Брандмауэр – отображаются события безопасности, связанные с работой межсетевого
экрана ОС;
Системные сообщения – сообщения от системных служб (сообщения с типом DAEMON).
Каждый журнал может содержать довольно большое количество сообщений. Уменьшить
либо увеличить количество выводимых строк можно, выбрав нужное значение в списке
«Показывать».
Каждый журнал может содержать довольно большое количество сообщений. Уменьшить
либо увеличить количество выводимых строк можно, выбрав нужное значение в списке
«Показывать».
5.10.2 Системные службы
Для изменения состояния служб можно использовать модуль ЦУС «Системные службы» »
(пакет alterator-services) из раздела «Система». Интерфейс позволяет изменять текущее состояние
службы и, если необходимо, применить опцию запуска службы при загрузке системы (Рис. 128).
Модуль «Системные службы»
Рис. 128
После выбора названия службы из списка отображается описание данной службы, а также
текущее состояние: «Работает»/«Остановлена»/«Неизвестно».
5.10.3 Системные ограничения
Средствами модуля «Системные ограничения» (пакет alterator-control) из раздела
«Система» определяются несколько заранее заданных режимов доступа к тому или иному файлу.
Администратор системы может установить один из этих режимов – он будет гарантированно
сохранѐн при обновлении системы.
Также модуль может использоваться как простой конфигуратор, позволяющий
переключать многие системные службы между заранее определѐнными состояниями.
На Рис. 129 показаны политики для команды fusermount.
123
Модуль «Системные ограничения»
Рис. 129
Для переключения состояния следует выбрать политику и нажать кнопку Сохранить.
5.10.4 Резервное копирование
Ниже перечислены модули, с помощью которых можно настроить резервное копирование.
План резервного копирования и дополнительные параметры настраиваются в модуле
ЦУС «Резервное копирование». Этот же модуль может использоваться и для восстановления
данных.
Для того чтобы начать резервное копирование самого сервера или рабочей станции
необходимо выполнить следующие шаги:
перейти в раздел «Сервер резервного копирования» → «Клиенты»;
указать имя узла (для сервера это будет localhost) и операционную систему. Нажать кнопку
«Создать» (Рис. 130);
124
Создание клиента резервного копирования
Рис. 130
указать пароль для клиента и включаемые и исключаемые каталоги;
нажать кнопку «Сохранить параметры»;
нажать ссылку «Конфигурационный файл клиента» и сохранить файл <имя узла>-fd.bin на
локальном компьютере;
скопировать полученный файл на рабочую станцию или сервер. Под Linux этот файл нужно
сохранить под именем /etc/bacula/bacula-fd.conf;
запустить на компьютере, где создаѐтся резервная копия, службу bacula-fd (в дистрибутиве
«Альт Рабочая станция» пакет bacula-client).
П р и м е ч а н и е . Для клиента под управлением ОС Linux по умолчанию создаѐтся резерв-
ная копия всей файловой системы, кроме каталогов с временными и служебными файлами: /dev,
/.fsck, /.journal, /media, /mnt, /opt, /proc, /srv, /sys, и /tmp.
В разделе «Сервер резервного копирования» → «Расписание» указывается время проведе-
ния инкрементного резервного копирования для каждого клиента (Рис. 131). В этом же разделе
можно отключить резервное копирование для выбранных клиентов.
Настройка расписания резервного копирования
Рис. 131
Модуль ЦУС «Архив» для выбранного клиента (выбирается из списка «Клиенты»)
позволяет запустить создание резервной копии вне расписания, удалить все резервные копии или
восстановить данные этого клиента (Рис. 132).
125
Модуль «Архив»
Рис. 132
Расширенные параметры восстановления позволяют задать целевой каталог восстановле-
ния.
Этот модуль также позволяет:
посмотреть общую информацию о доступном месте на диске;
посмотреть состояние и размер архива для каждого клиента;
принудительно запустить создание резервной копии;
удалить резервную копию клиента;
восстановить файл или каталог на выбранную дату.
5.10.5 Обновление системы
После установки системы крайне важно следить за обновлениями ПО. Обновления для
ОС «Альт Рабочая станция» могут содержать как исправления, связанные с безопасностью, так и
новый функционал или просто улучшение и ускорение алгоритмов. В любом случае настоятельно
рекомендуется регулярно обновлять систему для повышения надѐжности работы сервера.
Для автоматизации процесса установки обновлений предусмотрен модуль ЦУС
«Обновление системы» (пакет alterator-updates) из раздела «Система». Здесь можно включить
автоматическое обновление через Интернет с одного из предлагаемых серверов или задать
собственные настройки (Рис. 133).
126
Модуль «Обновление системы»
Рис. 133
Источник обновлений указывается явно (при выбранном режиме «Обновлять систему
автоматически из сети Интернет») или вычисляется автоматически (при выбранном режиме
«Обновление системы управляемое сервером» и наличии в локальной сети настроенного сервера
обновлений).
Процесс обновления системы будет запускаться автоматически согласно заданному
расписанию.
5.10.6 Обновление систем, не имеющих выхода в Интернет
Для систем, не имеющих прямого выхода в Интернет, рекомендуется установка отдельного
сервера обновлений на базе ОС «Альт Сервер», находящегося вне защищенного контура и
организация ограниченного доступа к этому серверу.
Модуль ЦУС «Сервер обновлений» (пакет alterator-mirror) из раздела «Серверы»
предназначен для зеркалирования репозиториев и публикации их для обновлений рабочих станций
и серверов.
На странице модуля можно выбрать, как часто выполнять закачку пакетов, можно
выставить время, когда начинать зеркалирование (Рис. 134).
127
Модуль «Сервер обновлений»
Рис. 134
Здесь также можно выбрать репозитории, локальные срезы которых необходимы. При
нажатии на название репозитория, появляются настройки этого репозитория (Рис. 135).
Необходимо выбрать источник, архитектуру процессора (если их несколько, то стоит выбрать
соответствующие).
П р и м е ч а н и е . При выборе любой архитектуры также будет добавлен источник с noarch.
128
Настройки репозитория
Рис. 135
Сервер обновлений предоставляет возможность автоматически настроить обновление кли-
ентских машин в нужном режиме:
Локальное зеркало репозитория – в этом режиме на сервере создаѐтся копия удалѐнного
репозитория. Загрузка ПО клиентскими машинами производится с локального сервера по
протоколам HTTP, HTTPS, FTP, rsync (для каждого протокола нужно настроить соответ-
ствующие службы, ниже приведѐн пример настройки HTTP- и FTP-сервера). Наличие на
локальном сервере зеркала репозитория при большом количестве машин в сети позволяет
существенно сэкономить трафик.
П р и м е ч а н и е . Зеркалирование потребует наличия большого количества места на диске.
Уменьшить размер скачиваемых файлов и занимаемое репозиторием место на диске мож-
но, указав имена каталогов и файлов, которые будут исключены из синхронизации. Напри-
мер, не скачивать пакеты с исходным кодом и пакеты с отладочной информацией:
SRPMS
*-debuginfo-*
Шаблоны указываются по одному в отдельной строке. Символ «*» используется для под-
становки любого количества символов.
Публикация репозитория – в этом случае публикуется или URL внешнего сервера, содер-
жащего репозиторий или, если включено локальное зеркало репозитория, адрес этого сер-
129
вера. Такая публикация позволяет клиентским машинам автоматически настроить свои ме-
неджеры пакетов на использование внешнего или локального репозитория. Со стороны
клиентских машин, в этом случае, необходимо настроить модуль «Обновление системы»,
отметив в нѐм пункт «Обновление системы управляемое сервером».
Настройка локального репозитория заканчивается нажатием на кнопку «Применить».
П р и м е ч а н и е . По умолчанию локальное зеркало репозитория находится в
/srv/public/mirror. Для того чтобы зеркалирование происходило в другую папку
необходимо эту папку примонтировать в папку /srv/public/mirror. Для этого в файл
/etc/fstab следует вписать следующую строку:
/media/disk/localrepo /srv/public/mirror none rw,bind,auto 0 0
где /media/disk/localrepo – папка-хранилище локального репозитория.
Настройка веб-сервера 5.10.6.1
Установить веб-сервер nginx:
# apt-get install nginx
Создать файл конфигурации сервера в /etc/nginx/sites-
available.d/repo.conf:
server {
listen 80;
server_name localhost .local <ваш ip>;
access_log /var/log/nginx/repo-access.log;
error_log /var/log/nginx/repo-error.log;
location /mirror {
root /srv/public;
autoindex on;
}
}
Сделать ссылку в /etc/nginx/sites-enabled.d/:
# ln -s /etc/nginx/sites-available.d/repo.conf /etc/nginx/sites-
enabled.d/repo.conf
Запустить nginx и добавить его в автозагрузку:
# systemctl enable --now nginx
130
На клиентских машинах необходимо настроить репозитории. Сделать это можно в
программе управления пакетами Synaptic («Параметры» → «Репозитории») или в командной
строке:
# apt-repo rm all
# apt-repo add http://<ip сервера>/mirror/p9/branch
Проверить правильность настройки репозиториев:
# apt-repo
rpm http://192.168.0.185/mirror p9/branch/x86_64 classic
rpm http://192.168.0.185/mirror p9/branch/noarch classic
Настройка FTP-сервера 5.10.6.2
Установить, настроить и запустить сервер FTP (см. Настройка сервера FTP).
Создать каталог /var/ftp/mirror:
# mkdir -p /var/ftp/mirror
Примонтировать каталог /srv/public/mirror в /var/ftp/mirror с опцией --bind:
# mount --bind /srv/public/mirror /var/ftp/mirror
П р и м е ч а н и е . Для автоматического монтирования каталога /srv/public/mirror
при загрузке системы необходимо добавить следующую строку в файл /etc/fstab:
/srv/public/mirror /var/ftp/mirror none defaults,bind 0 0
На клиентских машинах необходимо настроить репозитории:
# apt-repo rm all
# apt-repo add ftp://<ip сервера>/mirror/p9/branch
# apt-repo
rpm ftp://192.168.0.185/mirror p9/branch/x86_64 classic
rpm ftp://192.168.0.185/mirror p9/branch/noarch classic
5.10.7 Локальные учѐтные записи
Модуль «Локальные учѐтные записи» (пакет alterator-users) из раздела «Пользователи»
предназначен для администрирования системных пользователей (Рис. 136).
Для создания новой учѐтной записи необходимо ввести имя новой учѐтной записи и нажать
кнопку «Создать», после чего имя отобразится в списке слева.
Для дополнительных настроек необходимо выделить добавленное имя, либо, если необхо-
димо изменить существующую учѐтную запись, выбрать еѐ из списка.
131
Веб-интерфейс модуля alterator-users
Рис. 136
В модуле ЦУС «Локальные учетные записи» (только GUI) можно задать профиль киоска
для пользователя (Рис. 137). Режим «киоск» служит для ограничения прав пользователей в систе-
ме.
Профиль киоска – файл .desktop (обычно из /usr/share/applications), размещаемый
в каталог /etc/kiosk.
Настройка режима «киоск» для пользователя kiosk
Рис. 137
132
Для создания профиля можно просто скопировать файл .desktop (например,
firefox.desktop) из /usr/share/applications, в каталог /etc/kiosk, но лучше со-
здать свой desktop-файл и скрипт, содержащий требуемое ПО.
Пример настройки режима «киоск»:
1. Создать каталог /etc/kiosk (если он еще не создан);
2. Создать файл /etc/kiosk/webkiosk.desktop со следующим содержимым:
#!/usr/bin/env xdg-open
[Desktop Entry]
Version=1.0
Type=Application
Terminal=false
Exec=/usr/local/bin/webkiosk
Name=WEB-kiosk
Icon=start
3. Создать файл /usr/local/bin/webkiosk со следующим содержимым:
#!/bin/bash
marco --replace &
firefox --kiosk --incognito https://ya.ru
4. Сделать файл /usr/local/bin/webkiosk исполняемым:
# chmod +x /usr/local/bin/webkiosk
5. В модуле «Локальные учѐтные записи», выбрать учетную запись пользователя, затем в вы-
падающем списке «Режим киоска» выбрать пункт «WEB-kiosk (webkiosk.desktop)» и нажать
кнопку «Применить».
6. Завершить сеанс текущего пользователя и войти в систему используя учетную запись поль-
зователя, для которого настроен режим «киоск».
Пользователю будет доступен только веб-браузер firefox, по умолчанию будет загружена
страница, адрес которой указан в файле /usr/local/bin/webkiosk.
5.10.8 Администратор системы
В модуле «Администратор системы» (пакет alterator-root) из раздела «Пользователи» можно
изменить пароль суперпользователя (root), заданный при начальной настройке системы (Рис. 138).
133
Модуль «Администратор системы»
Рис. 138
В данном модуле (только в веб-интерфейсе) можно добавить публичную часть ключа RSA
или DSA для доступа к серверу по протоколу SSH.
5.10.9 Дата и время
В модуле «Дата и время» (пакет alterator-datetime) из раздела «Система» можно изменить
дату и время на сервере, сменить часовой пояс, а также настроить автоматическую синхронизацию
часов на самом сервере по протоколу NTP и предоставление точного времени по этому протоколу
для рабочих станций локальной сети (Рис. 139).
134
Модуль «Дата и время»
Рис. 139
Системное время зависит от следующих факторов:
часы в BIOS – часы, встроенные в компьютер; они работают, даже если он выключен;
системное время – часы в ядре операционной системы. Во время работы системы все про-
цессы пользуются именно этими часами;
часовые пояса – регионы Земли, в каждом из которых принято единое местное время.
При запуске системы происходит активация системных часов и их синхронизация с
аппаратными, кроме того, в определѐнных случаях учитывается значение часового пояса. При
завершении работы системы происходит обратный процесс.
Если настроена синхронизация времени с NTP-сервером, то сервер сможет сам работать как
сервер точного времени. Для этого достаточно отметить соответствующий пункт «Работать как
NTP-сервер».
5.10.10Ограничение использования диска
Модуль «Использование диска» (пакет alterator-quota) в разделе «Пользователи» позволяет
ограничить использование дискового пространства пользователями, заведѐнными на сервере в мо-
дуле «Пользователи».
135
Модуль позволяет задать ограничения (квоты) для пользователя при использовании опре-
делѐнного раздела диска. Ограничить можно как суммарное количество килобайт, занятых файла-
ми пользователя, так и количество этих файлов (Рис. 140).
Модуль «Использование диска»
Рис. 140
Для управления квотами файловая система должна быть подключена с параметрами
usrquota, grpquota. Для этого следует выбрать нужный раздел в списке «Файловая система» и уста-
новить отметку в поле «Включено» (Рис. 141).
Модуль «Использование диска»
Рис. 141
Для того чтобы задать ограничения для пользователя, необходимо выбрать пользователя в
списке «Пользователь», установить ограничения и нажать кнопку «Применить».
При задании ограничений различают жѐсткие и мягкие ограничения:
мягкое ограничение: нижняя граница ограничения, которая может быть временно превы-
шена. Временное ограничение – одна неделя;
жѐсткое ограничение: использование диска, которое не может быть превышено ни при ка-
ких условиях.
Значение 0 при задании ограничений означает отсутствие ограничений.
136
5.10.11Выключение и перезагрузка компьютера
Модуль ЦУС «Выключение компьютера» (пакет alterator-ahttpd-power) в разделе «Система»
позволяет выполнить:
выключить компьютер;
перезагрузить компьютер;
приостановить работу компьютера;
погрузить компьютер в сон.
Возможна настройка ежедневного применения данных действий в заданное время.
Так как выключение и перезагрузка – критичные для функционирования компьютера опе-
рации, то по умолчанию настройка выставлена в значение «Продолжить работу» (Рис. 142). Для
выключения, перезагрузки или перехода в энергосберегающие режимы нужно отметить соответ-
ствующий пункт и нажать «Применить».
Для ежедневного автоматического выключения компьютера, перезагрузки, а также перехо-
да в энергосберегающие режимы необходимо отметить соответствующий пункт и задать желаемое
время. Например, для выключения компьютера следует отметить пункт «Выключать компьютер
каждый день в», задать время выключения в поле ввода слева от этого флажка и нажать кнопку
«Применить».
Модуль «Выключение компьютера»
Рис. 142
П р и м е ч а н и е . Для возможности настройки оповещений на e-mail, должен быть установ-
лен пакет state-change-notify-postfix:
# apt-get install state-change-notify-postfix
137
Для настройки оповещений необходимо отметить пункт «При изменении состояния систе-
мы отправлять электронное письмо по адресу», ввести e-mail адрес и нажать кнопку «Применить»
(Рис. 143).
Модуль «Выключение компьютера». Настройка оповещений
Рис. 143
По указанному адресу, при изменении состоянии системы будут приходить электронные
письма. Например, при включении компьютера, содержание письма будет следующее:
Tue Jun 16 11:46:59 EET 2020: The host-15.test.alt is about to start.
При выключении:
Tue Jun 16 12:27:02 EET 2020: The host-15.test.alt is about to
shutdown.
Кнопка «Сбросить» возвращает сделанный выбор к безопасному значению по умолчанию:
«Продолжить работу», перечитывает расписания и выставляет отметки для ежедневного автома-
тического действия в соответствие с прочитанным.
5.11 Прочие возможности ЦУС
Возможности ЦУС ОС «Альт Рабочая станция» не ограничиваются только теми, что были
описаны выше.
Установленные пакеты, которые относятся к ЦУС, можно посмотреть, выполнив команду:
# rpm -qa | grep alterator*
Прочие пакеты для ЦУС можно найти, выполнив команду:
$ apt-cache search alterator*
Модули можно дополнительно загружать и удалять как обычные программы:
# apt-get install alterator-net-openvpn
138
# apt-get remove alterator-net-openvpn
5.12 Права доступа к модулям ЦУС
Администратор системы (root) имеет доступ ко всем модулям, установленным в системе, и
может назначать права доступа для пользователей к определенным модулям.
Для разрешения доступа пользователю к конкретному модулю, администратору в веб-
интерфейсе ЦУС необходимо выбрать нужный модуль и нажать ссылку «Параметры доступа к
модулю», расположенную в нижней части окна модуля (Рис. 144).
Ссылка «Параметры доступа к модулю»
Рис. 144
В открывшемся окне, в списке «Новый пользователь» необходимо выбрать пользователя,
который получит доступ к данному модулю, и нажать кнопку «Добавить» (Рис. 145). Для
сохранения настроек необходимо перезапустить HTTP-сервер, для этого достаточно нажать
кнопку «Перезапустить HTTP-сервер».
139
Параметры доступа к модулю
Рис. 145
Для удаления доступа пользователя к определенному модулю, администратору, в окне
этого модуля необходимо нажать ссылку «Параметры доступа к модулю», в открывшемся окне в
списке пользователей которым разрешен доступ, должен выбрать пользователя, нажать кнопку
«Удалить» (Рис. 145) и перезапустить HTTP-сервер.
Системный пользователь, пройдя процедуру аутентификации, может просматривать и
вызывать модули, к которым он имеет доступ.
140
6 ФУНКЦИОНАЛ ОПЕРАЦИОННОЙ СИСТЕМЫ
6.1 ГОСТ в OpenSSL
6.1.1 Поддержка шифрования по ГОСТ в OpenSSL
Для включения поддержки шифрования ГОСТ в OpenSSL необходимо выполнить следую-
щие действия:
1. Установить пакет openssl-gost-engine:
# apt-get install openssl-gost-engine
2. Изменить конфигурационный файл OpenSSL, выполнив команду:
# control openssl-gost enabled
3. Проверить, доступны ли шифры ГОСТ для OpenSSL:
$ openssl ciphers|tr ':' '\n'|grep GOST
GOST2012-GOST8912-GOST8912
GOST2001-GOST89-GOST89
6.1.2 Создание ключей
Пример генерации закрытого ключа с алгоритмом ГОСТ-2012:
$ openssl genpkey -algorithm gost2012_256 -pkeyopt paramset:TCA -out ca.key
Пример создания сертификата на 365 дней (ca.cer):
$ openssl req -new -x509 -md_gost12_256 \
-days 365 -key ca.key -out ca.cer \
-subj "/C=RU/ST=Russia/L=Moscow/O=SuperPlat/OU=SuperPlat CA/CN=SuperPlat CA Root"
Проверка сертификата (ca.cer):
$ openssl x509 -in ca.cer -text –noout
Certificate:
Data:
Version: 3 (0x2)
Serial Number:
33:16:0f:9e:ab:c5:cb:2b:97:9a:57:c5:99:f9:88:b9:7e:68:23:86
Signature Algorithm: GOST R 34.10-2012 with GOST R 34.11-2012 (256 bit)
Issuer: C = RU, ST = Russia, L = Moscow, O = SuperPlat, OU = SuperPlat CA, CN
= SuperPlat CA Root
Validity
Not Before: Jun 3 16:13:22 2021 GMT
Not After : Jun 3 16:13:22 2022 GMT
Subject: C = RU, ST = Russia, L = Moscow, O = SuperPlat, OU = SuperPlat CA,
CN = SuperPlat CA Root
Subject Public Key Info:
Public Key Algorithm: GOST R 34.10-2012 with 256 bit modulus
Public key:
141
X:E50615F7CE64842F60D12F757914FE6CE02924BD4C21800B4138670494A8EE8D
Y:62F5C4BAC4170304CA06C3ADAC909709EB4B6888727AD11DC5D7E52E9827D2E0
Parameter set: GOST R 34.10-2012 (256 bit) ParamSet A
X509v3 extensions:
X509v3 Subject Key Identifier:
A2:78:10:51:27:1A:2E:BE:64:F9:71:50:B7:4F:AD:87:43:A3:73:81
X509v3 Authority Key Identifier:
keyid:A2:78:10:51:27:1A:2E:BE:64:F9:71:50:B7:4F:AD:87:43:A3:73:81
X509v3 Basic Constraints:
CA:TRUE
Signature Algorithm: GOST R 34.10-2012 with GOST R 34.11-2012 (256 bit)
17:72:f3:5f:01:5f:03:cb:a2:86:f3:3d:3b:ee:55:75:19:88:
dc:3a:51:24:4b:0f:a6:1d:fe:26:7a:b4:eb:fb:10:31:1b:0f:
27:76:8e:20:f3:b8:03:24:c5:a3:3e:71:34:e5:f5:78:02:4b:
65:8b:37:c6:d2:e7:3f:cd:97:65
6.2 Задание хешей паролей в соответствии с ГОСТ Р 34.11-2012
6.2.1 Задание хешей паролей в соответствии с ГОСТ Р 34.11-2012 в ЦУС
Для измения типа хеша по умолчанию на ГОСТ Р 34.11-2012 необходимо в ЦУС перейти в
раздел «Система» → «Настройки безопасности».
П р и м е ч а н и е . Должен быть установлен пакет alterator-secsetup:
# apt-get install alterator-secsetup
В открывшемся окне следует отметить пункт «Включить хэширование паролей пользовате-
лей по алгоритму ГОСТ Р 34.11-2012» и нажать кнопку «Применить» (Рис. 146).
Задание хешей паролей в соответствии с ГОСТ Р 34.11-2012
Рис. 146
Проверить настройку можно, установить пароль пользователю и выполнив команду:
# passwd user
142
# passwd -S user
Password set, gost-yescrypt encryption.
6.2.2 Задание хешей паролей в соответствии с ГОСТ Р 34.11-2012 в консоли
Просмотреть тип хеша пароля пользователя:
# passwd -S <имя>
Пример ожидаемого результата:
# passwd -S user
Password set, yescrypt encryption.
Изменить типа хеша по умолчанию на gost-yescrypt:
# control tcb-hash-prefix gost_yescrypt
Установить пароль пользователю:
# passwd user
Проверка:
# passwd -S user
Password set, gost-yescrypt encryption.
Список возможных хэш-функций можно вывести, выполнив команду:
# control tcb-hash-prefix help
bcrypt_2b: prefix=$2b$ count=8 (4 - 31 limit)
bcrypt_2y: prefix=$2y$ count=8 (4 - 31 limit)
bcrypt_2a: prefix=$2a$ count=8 (4 - 31 limit)
yescrypt: prefix=$y$ count=8 (0 - 11 limit)
scrypt: prefix=$7$ count=8 (0 - 11 limit)
gost_yescrypt: prefix=$gy$ count=8 (0 - 11 limit)
sha256: prefix=$5$ count=10000 (1000 - 100000 limit)
sha512: prefix=$6$ count=10000 (1000 - 100000 limit)
default: hash prefix managed by libcrypt
Текущее значение хэш-функции:
# control tcb-hash-prefix
gost_yescrypt
Изменить типа хеша на установленный по умолчанию:
# control tcb-hash-prefix default
6.3 Подпись и проверка ЭЦП ГОСТ
Для создания и проверки электронной подписи в Альт Рабочая станция можно использо-
вать программу ALT CSP КриптоПро (Подпись и проверка ЭЦП ГОСТ). Возможности ALT CSP
КриптоПро:
143
создание электронной подписи без штампа времени;
создание электронной подписи со штампом времени;
создание электронной подписи в zip контейнере;
проверка электронной подписи;
просмотр содержимого контейнера с документом и электронной подписью.
П р и м е ч а н и е . Необходимо установить пакет alt-csp-cryptopro, если он еще не установ-
лен:
# apt-get install alt-csp-cryptopro
Для возможности запуска ALT CSP КриптоПро из меню LibreOffice должен быть установ-
лен пакет LibreOffice-plugin-altcsp:
# apt-get install LibreOffice-plugin-altcsp
П р и м е ч а н и е . Для работы ALT CSP КриптоПро должно быть установлено программное
обеспечение КриптоПро и КриптоПро ЭЦП Browser plug-in (для возможности установки меток
времени).
Запустить ALT CSP КриптоПро можно:
из меню рабочей среды: «Меню MATE» → «Системные» → «ALT CSP КриптоПро»;
из контекстного меню файла в файловом менеджере Caja: «Действия» → «Caja-Actions
actions» (Рис. 147). Для возможности запуска из контекстного меню файла должен быть
установлен пакет mate-file-manager-actions;
из меню LibreOffice: «Файл» → «Электронная подпись» (Рис. 148);
из командной строки:
$ alt-csp-cryptopro
144
Контекстное меню файла в файловом менеджере Caja
Рис. 147
Запуск ALT CSP КриптоПро из меню «Файл» LibreOffice
Рис. 148
145
6.3.1 Создание электронной подписи
Для создания подписи следует на вкладке «Подпись» (Рис. 149), в разделе «Документ»
нажать кнопку «Выбор» и выбрать электронный документ. Нажав кнопку «Просмотр», можно
просмотреть содержимое электронного документа.
Выбор документа для создания электронной подписи
Рис. 149
П р и м е ч а н и е . Документ будет выбран автоматически, если программа была запущена из
контекстного меню файла.
В разделе «Сертификат» в выпадающем списке следует выбрать сертификат, которым бу-
дет подписан документ, выбрать кодировку подписи (по умолчанию base64) и расширение файла
цифровой подписи (по умолчанию p7b). В разделе «Подпись» будет отображаться название файла
цифровой подписи, которое можно изменить. Для генерации электронной подписи следует нажать
кнопку «Подпись». В открывшемся окне необходимо ввести пароль на контейнер, если он был
установлен.
В результате успешного создания электронной подписи поле «Результат» будет подсвечено
зеленым цветом.
146
Сформированный файл подписи по умолчанию будет сохранен в тот же каталог, в котором
находится файл с исходными данными.
Для создания электронной подписи с меткой времени, необходимо в разделе «Сертификат»
установить отметку в поле «Добавить отметку времени».
ALT CSP КриптоПро позволяет объединить электронный документ и соответствующую
ему электронную подпись в контейнер электронного документа, представляющий собой zip-архив
(<ИМЯ_ФАЙЛА>.signed.zip). Для создания контейнера необходимо при создании электронной
подписи в разделе «Подпись» установить отметку в поле «Создать контейнер» (Рис. 155).
Создание контейнера электронного документа
Рис. 150
Чтобы подписать документ из меню LibreOffice, документ необходимо сохранить, затем в
меню выбрать пункт «Файл» → «Электронная подпись». В результате откроется окно
ALT CSP КриптоПро, документ станет доступен только для чтения.
6.3.2 Проверка электронной подписи
Проверка электронной подписи выполняется во вкладке «Проверка».
Для проверки отсоединѐнной электронной подписи необходимо нажать кнопку «Выбор» и
выбрать электронный документ. Далее следует нажать кнопку «Выбор подписи» и выбрать файл
147
электронной подписи. После появления имени подписи в секции «Подпись» необходимо нажать
кнопку «Проверка подписи» (Рис. 151).
П р и м е ч а н и е . Если программа ALT CSP КриптоПро была запущена из контекстного ме-
ню файла, документ будет выбран автоматически. Если программа была запущена из контекстного
меню файла электронной подписи, подпись и документ будут выбраны автоматически.
Для проверки электронной подписи в контейнере достаточно выбрать контейнер (документ
и подпись будут выбраны автоматически) и нажать кнопку «Проверка подписи».
Проверка электронной подписи
Рис. 151
6.4 Управление шифрованными разделами
В LUKS для одного зашифрованного раздела используются восемь слотов, в каждом из ко-
торых может храниться отдельный пароль (ключ). Любой из восьми ключей может быть исполь-
зован для расшифровки раздела. Любой пароль может быть изменѐн или удалѐн необратимо.
Для управления шифрованными разделами можно воспользоваться командой
cryptsetup. Ниже описаны лишь некоторые возможности утилиты cryptsetup. Для получе-
ния более подробной информации используйте команду man cryptsetup.
Просмотреть текущее состояние всех слотов:
# cryptsetup luksDump /dev/sdb1 | grep Slot
Key Slot 0: DISABLED
Key Slot 1: ENABLED
Key Slot 2: DISABLED
148
Key Slot 3: DISABLED
Key Slot 4: DISABLED
Key Slot 5: DISABLED
Key Slot 6: DISABLED
Key Slot 7: DISABLED
где /dev/sdb1 – шифрованный раздел.
П р и м е ч а н и е . Определить является ли устройство LUKS-разделом:
# cryptsetup isLuks -v /dev/sdb1
Команда выполнена успешно.
Определить какой раздел является шифруемым можно, выполнив команду:
# lsblk
NAME MAJ:MIN RM SIZE RO TYPE
MOUNTPOINT
sda 8:0 0 18G 0 disk
├─sda1 8:1 0 1023M 0 part
[SWAP]
└─sda2 8:2 0 17G 0 part
/
sdb 8:16 0 18G 0 disk
└─sdb1 8:17 0 18G 0 part
└─luks-7853363d-e7e2-1a42-b5b9-0af119e19920 253:0 0 18G 0
crypt /home
sr0 11:0 1 1024M 0 rom
Добавить новый пароль на зашифрованный раздел (требуется предоставить уже имеющий-
ся пароль интерактивно или посредством опции --key-file):
# cryptsetup luksAddKey /dev/sdb1
Введите любую существующую парольную фразу:
Введите новую парольную фразу для слота ключа:
Парольная фраза повторно:
Пароль будет назначен в первый свободный слот:
# cryptsetup luksDump /dev/sdb1 | grep Slot
Key Slot 0: ENABLED
Key Slot 1: ENABLED
Key Slot 2: DISABLED
Key Slot 3: DISABLED
149
Key Slot 4: DISABLED
Key Slot 5: DISABLED
Key Slot 6: DISABLED
Key Slot 7: DISABLED
Можно указать номер определенного слота с помощью опции --key-slot, например:
# cryptsetup luksAddKey /dev/sdb1 --key-slot 5
Заменить один из паролей на другой (старый пароль нужно ввести интерактивно или задать
опцией --key-file):
# cryptsetup luksChangeKey /dev/sdb1
Введите изменяемую парольную фразу:
Введите новую парольную фразу:
Парольная фраза повторно:
Если задан номер слота (опцией --key-slot), нужно ввести старый пароль именно для
заданного слота, и замена пароля произойдѐт тоже в этом слоте. Если номер слота не задан и есть
свободный слот, то сначала новый пароль будет записан в свободный слот, а потом будет затѐрт
слот, содержащий старый пароль. Если свободных слотов не окажется, то новый пароль будет за-
писан прямо в слот, ранее содержащий старый пароль.
Удалить заданный пароль (затирает слот):
# cryptsetup luksRemoveKey /dev/sdb1
Введите удаляемую парольную фразу:
П р и м е ч а н и е . В пакетном режиме (-q) удаление даже последнего пароля будет выпол-
нено без каких-либо предупреждений. Если ни одного пароля не останется (то есть все слоты
ключей будут пусты), дешифровать LUKS-раздел станет невозможно.
Процедура сброса забытого пароля на зашифрованный раздел:
1. Получить зашифрованные пароли всех разделов:
# dmsetup table --showkey
luks-7853363d-e7e2-1a42-b5b9-0af119e19920: 0 37730304 crypt aes-cbc-
essiv:sha256
b15c22e8d60a37bcd27fb438637a8221fbec66c83be46d33a8331a4002cf3144 0
8:17 4096
Часть поля после «aes-cbc-essiv:sha256» является зашифрованным паролем.
Сохранить зашифрованный пароль в текстовый файл:
# echo
"b15c22e8d60a37bcd27fb438637a8221fbec66c83be46d33a8331a4002cf3144" >
lukskey.txt
150
2. Преобразовать существующий пароль из текстового файла в двоичный файл:
# xxd -r -p lukskey.txt lukskey.bin
luks-7853363d-e7e2-1a42-b5b9-0af119e19920: 0 37730304 crypt aes-cbc-
essiv:sha256
b15c22e8d60a37bcd27fb438637a8221fbec66c83be46d33a8331a4002cf3144 0
8:17 4096
3. Добавить новый пароль, используя существующий пароль, извлеченный в бинарный файл:
# cryptsetup luksAddKey /dev/sdb1 --master-key-file <(cat lukskey.bin)
Введите новую парольную фразу для слота ключа:
Парольная фраза повторно:
П р и м е ч а н и е . Сбросить пароль на зашифрованный раздел можно, только если данный
раздел уже примонтирован.
6.5 Создание ssh-туннелей, использующих контроль целостности заголовков IP-пакетов
в соответствии с ГОСТ Р 34.12-2015
6.5.1 Настройка сервера ssh
Добавить в файл /etc/openssh/sshd_config строки:
Ciphers grasshopper-ctr@altlinux.org
MACs grasshopper-mac@altlinux.org,hmac-streebog-512@altlinux.org
Перезапустить службу sshd:
# service sshd restart
6.5.2 Подключение к серверу ssh
Зайти на сервер по ssh:
$ ssh <пользователь@сервер> -oCiphers=grasshopper-ctr@altlinux.org -
oMACs=grasshopper-mac@altlinux.org,hmac-streebog-512@altlinux.org
Пробросить порт с сервера на локальную машину (для демонстрации туннеля):
$ ssh <пользователь@сервер> -oCiphers=grasshopper-ctr@altlinux.org -
oMACs=grasshopper-mac@altlinux.org,hmac-streebog-512@altlinux.org -L
127.0.0.1:222:127.0.0.1:22
Зайти на всѐ тот же сервер через тоннель (в другом окне терминала):
$ ssh <пользователь@127.0.0.1 -p 222 -oCiphers=grasshopper-
ctr@altlinux.org -oMACs=grasshopper-mac@altlinux.org,hmac-streebog-
512@altlinux.org
151
6.6 Создание защищенных VPN-туннелей, использующих контроль заголовков
IP-пакетов в соответствии с ГОСТ Р 34.12-2015
Для возможности использования ГОСТ алгоритмов шифрования и хэширования должна
быть включена «Поддержка шифрования по ГОСТ в OpenSSL».
Установить пакет openvpn-gostcrypto:
# apt-get install openvpn-gostcrypto
П р и м е ч а н и е . Для установки пакетов gostcrypto, в список репозиториев должен быть до-
бавлен репозиторий gostcrypto. Сделать это можно в программе управления пакетами Synaptic, до-
писав для дистрибутива «p9/branch/x86_64» в поле «Раздел(ы)» значение gostcrypto (Рис. 152).
Добавление репозитория gostcrypto в Synaptic
Рис. 152
или в командной строке, например:
# apt-repo add rpm [p9] http://mirror.yandex.ru/altlinux/ p9/branch/x86_64 gostcrypto
После изменения списка репозиториев, необходимо получить сведения о находящихся в
них пакетах.
6.6.1 Настройка в ЦУС
Выполнить настройку сервера OpenVPN-сервера (см. «Соединение удалѐнных офисов
(OpenVPN-сервер)»).
Выбрать алгоритмы шифрования и алгоритм хэширования. По умолчанию OpenVPN авто-
матически подбирает алгоритм шифрования, не учитывая алгоритм, заданный в поле «Алгоритм
шифрования», поэтому необходимо отметить пункт «Отключить согласование алгоритмов шиф-
рования (NCP)» (Рис. 153).
На стороне клиента, необходимо указать алгоритмы шифрования, такие же, как и на сто-
роне сервера (Рис. 154).
152
Проверка подключения на стороне сервера:
# journalctl -f| grep openvpn
июн 15 11:22:05 dc.test.alt openvpn[36553]: 192.168.0.40:55060 TLS: Initial packet
from [AF_INET]192.168.0.40:55060, sid=e4838b57 7b21a97c
июн 15 11:22:05 dc.test.alt openvpn[36553]: 192.168.0.40:55060 VERIFY OK: depth=1,
C=RU, O=MyOrg, OU=MyOrg Certification Authority, CN=MyOrg Root Certification Authori-
ty
июн 15 11:22:05 dc.test.alt openvpn[36553]: 192.168.0.40:55060 VERIFY OK: depth=0,
CN=comp01.example.test
...
июн 15 11:22:05 dc.test.alt openvpn[36553]: 192.168.0.40:55060 Incoming Data Channel:
Using 128 bit message hash 'grasshopper-mac' for MAC authentication
Настройка OpenVPN-сервера
Рис. 153
153
Создание нового OpenVPN-соединения
Рис. 154
6.6.2 Настройка в командной строке
Создание ключей для OpenVPN туннеля средствами утилиты openssl 6.6.2.1
Для генерации всех необходимых ключей и сертификатов необходимо выполнить
следующие действия:
1. Для возможности подписывать любые сертификаты, необходимо открыть файл
/var/lib/ssl/openssl.cnf и изменить значение параметра policy на следующее:
policy = policy_anything
2. Создать каталоги:
# mkdir -p /root/CA/demoCA
# cd /root/CA
# mkdir -p ./demoCA/newcerts
Создать файл базы с действующими и отозванными сертификатами:
# touch ./demoCA/index.txt
Создать файл индекса для базы ключей и сертификатов:
# echo '01' > ./demoCA/serial
Создать файл индекса для базы отозванных сертификатов:
# echo '01' > ./demoCA/crlnumber
154
3. Создать «самоподписанный» сертификат my-ca.crt и закрытый ключ my-ca.pem, кото-
рыми будут заверяться/подписываться ключи и сертификаты клиентов, желающих подклю-
читься к серверу, с помощью следующей команды:
# openssl req -new -x509 -keyout my-ca.pem -out my-ca.crt
Ввести пароль для закрытого ключа и ответить на запросы о владельце ключа.
4. Создать пару «ключ-сертификат» для сервера и каждого клиента, желающего подключиться
к серверу. Для этого, сгенерировать ключ и запрос на сертификат для сервера:
# openssl req -new -nodes -keyout server.pem -out server.crs
Подписать запрос на сертификат своим «самоподписанным» my-ca.crt сертификатом и
ключом my-ca.pem с помощью следующей команды:
# openssl ca -cert my-ca.crt -keyfile my-ca.pem -days 3650 -in
server.crs -out server.crt
Сгенерировать запрос на сертификат для пользователя:
# openssl req -new -nodes -keyout client.pem -out client.crs
Подписать запрос на сертификат своим my-ca.crt сертификатом и ключом my-ca.pem:
# openssl ca -cert my-ca.crt -keyfile my-ca.pem -days 365 -in
client.crs -out client.crt
5. Задать параметры Диффи-Хеллмана для сервера:
# openssl dhparam -out server.dh 2048
6. Разместить ключи и сертификаты в каталогах сервера и клиента следующим образом:
my-ca.pem – только для подписи сертификатов (лучше хранить на отдельном от OpenVPN
сервера компьютере);
my-ca.crt, server.crt, server.dh, server.pem – для сервера OpenVPN;
my-ca.crt, user_1.crt, user_1.pem – для клиента OpenVPN.
7. Для новых клиентов создать новые ключи и отдать комплектом my-ca.crt, но-
вый_сертификат.crt, новый_ключ.pem.
Для создания списка отзыва сертификатов необходимо выполнить следующие действия:
1. Выполнить следующую команду:
# openssl ca -cert my-ca.crt -keyfile my-ca.pem -gencrl -out
crl.pem
2. Отозвать сертификат user_1.crt:
# openssl ca -cert my-ca.crt -keyfile my-ca.pem -revoke user_1.crt
-out crl.pem
3. Обновить список (обязательно после каждого отзыва сертификата):
155
# openssl ca -cert my-ca.crt -keyfile my-ca.pem -gencrl -out
crl.pem
4. Просмотреть crl.pem:
# openssl crl -noout -text -in crl.pem
5. Поместить файл crl.pem в каталог /var/lib/openvpn.
Настройка сервера OpenVPN 6.6.2.2
Файл конфигурации должен быть размещен в /etc/openvpn, все ключи – в
/etc/openvpn/keys, файлы настроек клиентов – в /etc/openvpn/ccd/ или
/var/lib/openvpn/etc/openvpn/ccd/.
Ранее созданные ключи и сертификаты необходимо перенести в каталог
/etc/openvpn/keys/.
Важно правильно указать права доступа. Ключи должны быть доступны только
администратору, конфигурации клиентов должны быть доступны на чтение пользователю
openvpn:
# chown root:root /etc/openvpn/keys/* ; chmod 600 /etc/openvpn/keys/*
# chown root:openvpn /var/lib/openvpn/etc/openvpn/ccd/* ; chmod 640
/var/lib/openvpn/etc/openvpn/ccd/*
Каждый файл конфигурации по маске /etc/openvpn/*.conf является конфигурацией
отдельного экземпляра демона openvpn.
П р и м е ч а н и е . Для настройки OpenVPN сервера можно использовать образец файла кон-
фигурации OpenVPN, для этого следует скопировать файл /usr/share/doc/openvpn-
gostcrypto-2.4.9/server.conf в каталог /etc/openvpn/ (номер версии в названии ка-
талога может быть другим).
В файле конфигурации должны быть указаны:
ifconfig-pool-persist и status – без полного пути либо с путем /cache/;
ca, dh, cert, key – с путем /etc/openvpn/keys/;
client-config-dir /etc/openvpn/ccd;
ncp-disable – для возможности использования шифра отличного от AES-256-GCM
Далее приводится пример конфигурации в файле server.conf:
# cat /etc/openvpn/server.conf
port 1194
proto udp
dev tun
ca /etc/openvpn/keys/my-ca.crt
156
cert /etc/openvpn/keys/server.crt
key /etc/openvpn/keys/server.pem
dh /etc/openvpn/keys/server.dh
comp-lzo
server 10.8.0.0 255.255.255.0
tls-server
cipher grasshopper-cbc
tls-cipher GOST2012-GOST8912-GOST8912
ncp-disable
verb 3
mute 10
keepalive 10 60
user openvpn
group openvpn
persist-key
persist-tun
status openvpn-status.log
ifconfig-pool-persist server_ipp.txt
verb 3
client-to-client
management localhost 1194
push "route 192.168.0.0 255.255.255.0"
push "dhcp-option DNS 192.168.0.122"
;client-config-dir /etc/openvpn/ccd
Ключи и сертификаты необходимо перенести в каталог /etc/openvpn/keys/.
Запустить сервер OpenVPN:
# openvpn /etc/openvpn/server.conf
Настройка VPN-подключения по протоколу OpenVPN в Network Manager 6.6.2.3
Для настройки VPN-подключения по протоколу OpenVPN в Network Manager, следует
выполнить следующие действия:
1. Нажать левой кнопкой мыши на значок NetworkManager, в меню выбрать «Соединения
VPN» → «Добавить VPN-соединение» (Рис. 155).
157
Создание нового OpenVPN-соединения
Рис. 155
2. В списке выбора типа соединения выбрать пункт «OpenVPN» и нажать кнопку «Создать»
(Рис. 156).
П р и м е ч а н и е . Если имеется файл конфигурации клиента, в списке выбора типа
соединения можно выбрать пункт «Импортировать сохраненную конфигурацию VPN» и указать
этот файл, параметры соединения будут настроены согласно этому файлу.
Выбор типа VPN-соединения
Рис. 156
3. В открывшемся окне указать IP-адрес OpenVPN сервера, сертификат УЦ, приватный ключ и
сертификат пользователя (Рис. 157).
158
Параметры VPN-соединения
Рис. 157
4. Нажать кнопку «Дополнительно» чтобы указать параметры подключения. Настройки соеди-
нения находятся на разных вкладках, например на вкладке «Защита» можно указать алго-
ритм шифрования (Рис. 158).
Дополнительные параметры OpenVPN
Рис. 158
5. Сохранить сделанные изменения, нажав кнопку «ОК» и затем «Применить».
6. Выполнить подключение (Рис. 159).
159
Создание VPN-соединения
Рис. 159
Выполнить настройку OpenVPN клиента можно также в командной строке. Для этого:
скопировать файл /usr/share/doc/openvpn-gostcrypto-2.4.9/client.conf в
каталог /etc/openvpn/;
скопировать ранее сгенерированные ключи и сертификаты в каталог
/etc/openvpn/keys/ и укажите их в /etc/openvpn/client.conf;
в файле /etc/openvpn/client.conf в поле remote указать IP-адрес OpenVPN серве-
ра, другие параметры привести в соответствие с настройками сервера, например:
remote 192.168.0.102 1194
ca /etc/openvpn/keys/my-ca.crt
cert /etc/openvpn/keys/client.crt
key /etc/openvpn/keys/client.pem
#remote-cert-tls server
cipher grasshopper-cbc
tls-cipher GOST2012-GOST8912-GOST8912
запустить клиент OpenVPN:
# openvpn /etc/openvpn/client.conf
6.7 Поддержка файловых систем
Файловая система представляет из себя набор правил, определяющих то, как хранятся и
извлекаются документы, хранящиеся на устройстве.
Проверка поддержки файловых систем ext2, ext3, ext4, iso9660, fat16, fat32, ntfs:
1. Создать раздел объемом менее 4 Гбайт на flash-накопителе (например, /dev/vdс1).
2. Для создания iso файла установить пакет genisoimage:
# apt-get install genisoimage
3. Создать каталог /mnt/filesystem, в который будет монтироваться раздел:
# mkdir /mnt/filesystem
4. Отформатировать раздел в проверяемую файловую систему:
для ext2:
160
# mkfs.ext2 /dev/vdc1
для ext3:
# mkfs.ext3 /dev/vdc1
для ext4:
# mkfs.ext4 /dev/vdc1
для fat16:
# mkfs.fat -F 16 /dev/vdc1
для fat32:
# mkfs.fat -F 32 /dev/vdc1
для ntfs:
# mkfs.ntfs /dev/vdc1
для iso9660 – создать iso-файл из каталога /etc:
# mkisofs -r -jcharset koi8-r -o /root/cd.iso /etc
5. Для проверки поддержки файловых систем ext2, ext3, ext4, fat16, fat32, ntfs:
примонтировать раздел с файловой системой в каталог /mnt/filesystem:
# mount /dev/vdc1 /mnt/filesystem
проверить возможность записи файла на текущую файловую систему:
# echo test_content > /mnt/filesystem/test.fs
# ls -l /mnt/filesystem/test.fs
-rw-r--r--. 1 root root 13 май 23 20:10 /mnt/filesystem/test.fs
проверить возможность чтения файла с текущей файловой системой:
# cat /mnt/filesystem/test.fs
6. Для проверки поддержки файловой системы iso9660 смонтировать созданный iso файл в ка-
талог /mnt/filesystem/ (файл образа диска будет примонтирован в режиме «только для
чтения»):
# mount -o loop,ro /root/cd.iso /mnt/filesystem/
6.8 Поддержка сетевых протоколов
6.8.1 SMB
Samba – пакет программ, которые позволяют обращаться к сетевым дискам и принтерам на
различных операционных системах по протоколу SMB/CIFS. Имеет клиентскую и серверную
части.
Настройка Samba 6.8.1.1
Samba настраивается с помощью конфигурационного файла /etc/samba/smb.conf.
161
П р и м е ч а н и е . После редактирования файла smb.conf, следует запускать команду
testparm для проверки файла на синтаксические ошибки.
6.8.1.1.1 Добавление пользователя
Создать пользователя samba в системе и указать пароль:
# useradd -m user_samba
# passwd user_samba
Добавить пользователя в файл smbpasswd с тем же паролем:
# smbpasswd -a user_samba
New SMB password:
Retype new SMB password:
Added user user_samba.
6.8.1.1.2 Создание ресурсов общего доступа
Создать папку sharefolder, для общих ресурсов:
# mkdir /mnt/sharefolder
Назначить нового владельца:
# chown -R user_samba:users /mnt/sharefolder
# chmod -R ugo+rwx /mnt/sharefolder
Добавить в конфигурационный файл сервера Samba /etc/samba/smb.conf строки:
[public]
#путь к общей папке
path=/mnt/sharefolder
read only=No
#открыть гостевой доступ
guest ok=Yes
comment = Public
Перезапустить службу:
# systemctl restart smb
# systemctl restart nmb
6.8.1.1.3 Создание ресурсов общего доступа от имени обычного пользователя
Usershare – это возможность, позволяющая обычным пользователям добавлять, изменять и
удалять собственные ресурсы общего доступа.
В конфигурационном файле smb.conf должны быть заданы следующие переменные
(данная возможность настроена по умолчанию):
[global]
162
# ----------------------- User Shares Options ------------------------
-
usershare path = /var/lib/samba/usershares
usershare max shares = 100
usershare allow guests = yes
usershare owner only = yes
Добавить пользователя в группу sambashares:
# usermod -a -G sambashare <имя_пользователя>
Перезапустить службы smbd и nmbd:
# systemctl restart smb
# systemctl restart nmb
Далее следует завершить сеанс и войти в него вновь. Должна появиться возможность
настраивать общий доступ samba, используя графический интерфейс.
Для того чтобы предоставить общий доступ на папку в контекстном меню папки выбрать
пункт «Опции публикации», настроить параметры публикации и нажать кнопку «Создать
публикацию» (Рис. 160).
Создать публикацию
Рис. 160
Настройка клиента 6.8.1.2
6.8.1.2.1 Подключение по протоколу SMB в графической среде
Создать подключение по протоколу SMB в графической среде MATE можно следующими
способами:
163
запустить файловый менеджер, указать в адресной строке протокол и адрес сервера
(Рис. 161). Нажать клавишу <Enter>. Будут показаны ресурсы с общим доступом (Рис. 162).
Для доступа к папке, необходимо указать имя пользователя, пароль и нажать кнопку «Под-
ключиться» (Рис. 163).
выбрать в меню пункт «Места» → «Соединиться с сервером», указать адрес сервера, порт,
тип соединения: «Ресурс Windows», имя пользователя, пароль и нажать кнопку «Подклю-
читься» (Рис. 164).
Создание подключения по протоколу SMB
Рис. 161
Создание подключения по протоколу SMB
Рис. 162
164
Создание подключения по протоколу SMB
Рис. 163
Создание подключения по протоколу SMB
Рис. 164
165
6.8.1.2.2 Монтирование ресурса Samba через /etc/fstab
Просмотреть список общедоступных ресурсов на сервере:
$ smbclient -L 192.168.88.218 -U%
Просмотреть список ресурсов на сервере доступных пользователю user_samba:
$ smbclient -L 192.168.88.218 -Uuser_samba
Unable to initialize messaging context
Enter WORKGROUP\user_samba's password:
Sharename Type Comment
--------- ---- -------
public Disk Public
IPC$ IPC IPC Service (Samba Server Version
4.10.3)
user_samba Disk Home Directories
Cups-PDF Printer Cups-PDF
open_folder Disk
Reconnecting with SMB1 for workgroup listing.
Server Comment
--------- -------
Workgroup Master
--------- -------
WORKGROUP HOST-15
Создать файл /etc/samba/sambacreds (например, командой mcedit
/etc/samba/sambacreds), с содержимым:
username=имя_пользователя
password=пароль
Для защиты информации, права на файл /etc/samba/sambacreds, надо установить так,
чтобы файл был доступен на чтение и запись только пользователю-владелецу файла:
# chmod 600 /etc/samba/sambacreds
и принадлежать root:
# chown root: /etc/samba/sambacreds
Для монтирования ресурса Samba в /etc/fstab необходимо прописать, строку вида:
166
//СЕРВЕР/ИМЯ_РЕСУРСА /mnt/точка_монтирования cifs
credentials=/путь/к/полномочиям/sambacreds 0 0
Например:
//192.168.88.218/public /mnt/server_public cifs users,_netdev,x-
systemd.automount,credentials=/etc/samba/sambacreds 0 0
6.8.2 NFS
Настройка сервера NFS 6.8.2.1
П р и м е ч а н и е . Должен быть установлен пакет nfs-server:
# apt-get install nfs-server
Запустить NFS-сервер и включить его по умолчанию:
# systemctl start nfs
# systemctl enable nfs
В файле /etc/exports следует указать экспортируемые каталоги (каталоги, которые
будет разрешено монтировать с других машин):
/mysharedir ipaddr1(rw)
Например, разрешить монтировать /home на сервере:
# vim /etc/exports
/home 192.168.88.0/24 (no_subtree_check,rw)
где 192.168.88.0/24 – разрешение экспорта для подсети 192.168.88.X; rw – разрешены
чтение и запись.
Подробную информацию о формате файла можно посмотреть командой:
man exports
После внесения изменений в файл /etc/exports необходимо выполнить команду:
# exportfs –r
Проверить список экспортируемых файловых систем можно, выполнив команду:
# exportfs
/home 192.168.8.0/24
Использование NFS 6.8.2.2
Подключение к NFS-серверу можно производить как вручную, так и настроив
автоматическое подключение при загрузке.
Для ручного монтирования необходимо:
создать точку монтирования:
# mkdir /mnt/nfs
примонтировать файловую систему:
# mount -t nfs 192.168.88.218:/home /mnt/nfs
167
где 192.168.88.3 – IP адрес сервера NFS; /mnt/nfs – локальный каталог куда монтируется
удалѐнный каталог;
проверить наличие файлов в /mnt/nfs:
# ls –al /mnt/nfs
Должен отобразиться список файлов каталога /home расположенного на сервере NFS.
Для автоматического монтирования к NFS-серверу при загрузке необходимо добавить
следующую строку в файл /etc/fstab:
192.168.88.218:/home /mnt/myshare nfs intr,soft,nolock,_netdev,x-
systemd.automount 0 0
П р и м е ч а н и е . Прежде чем изменять /etc/fstab, необходимо смонтировать каталог
вручную для того чтобы убедиться, что все работает.
6.8.3 FTP
Настройка сервера FTP 6.8.3.1
Установить пакеты vsftpd, anonftp:
# apt-get install vsftpd anonftp
Изменить настройку прав доступа в файле /etc/vsftpd.conf:
local_enable=YES
chroot_local_user=YES
local_root=/var/ftp/
Перезапустить vsftpd.socket:
# systemctl restart vsftpd.socket
Убедиться в нормальной работе FTP-сервера:
# netstat -ant | grep 21
tcp 0 0 :::21 :::* LISTEN
FTP-сервер запущен и принимает соединения на 21 порту.
Создать файл в каталоге /var/ftp/:
# echo "vsftpd test file" > /var/ftp/test.txt
Подключение рабочей станции 6.8.3.2
Создать подключение по протоколу FTP в графической среде MATE можно в файловом
менеджере. Для этого следует указать в адресной строке протокол и адрес сервера (Рис. 165) и
нажать клавишу <Enter>. В появившемся окне указать имя пользователя, пароль и нажать кнопку
«Подключиться» (Рис. 166).
Должен отобразиться список файлов каталога /var/ftp/, расположенного на сервере FTP
(Рис. 167).
168
Создание подключения по протоколу FTP
Рис. 165
Создание подключения по протоколу FTP
Рис. 166
Файл на FTP сервере
Рис. 167
169
6.8.4 NTP
Настройка сервера NTP 6.8.4.1
В качестве NTP сервера/клиента используется сервер времени chrony:
chronyd – демон, работающий в фоновом режиме. Он получает информацию о разнице си-
стемных часов и часов внешнего сервера времени и корректирует локальное время. Демон
реализует протокол NTP и может выступать в качестве клиента или сервера.
chronyc – утилита командной строки для контроля и мониторинга программы. Утилита ис-
пользуется для тонкой настройки различных параметров демона, например, позволяет до-
бавлять или удалять серверы времени.
Выполнить настройку NTP-сервера можно следующими способами:
1. В ЦУС настроить модуль «Дата и время» на получение точного времени с NTP сервера и
работу в качестве NTP-сервера и нажать кнопку «Применить» (Рис. 168).
2. Указать серверы NTP в директиве server или pool в файле конфигурации NTP
/etc/chrony.conf:
allow all #Разрешить NTP-клиенту доступ из локальной сети
pool pool.ntp.org iburst
3. Перезапустить сервис командой:
# systemctl restart chronyd
4. Убедиться в нормальной работе NTP-сервера, выполнив команду:
# systemctl status chronyd.service
Настройка модуля «Дата и время»
Рис. 168
170
Настройка рабочей станции 6.8.4.2
Настроить модуль «Дата и время» на получение точного времени с NTP-сервера (в качестве
NTP-сервера указать IP-адрес сервера NTP) и нажать кнопку «Применить» (Рис. 169).
Настройка модуля «Дата и время» на рабочей станции
Рис. 169
Проверить текущие источники времени:
$ chronyc sources
210 Number of sources = 1
MS Name/IP address Stratum Poll Reach LastRx Last sample
======================================================================
=========
^? 192.168.88.218 3 8 0 23m +396us[ -803us]
+/- 55ms
Проверить статус источников NTP:
$ chronyc activity
200 OK
1 sources online
0 sources offline
0 sources doing burst (return to online)
0 sources doing burst (return to offline)
0 sources with unknown address
171
6.8.5 HTTP(S)
Настройка сервера HTTP 6.8.5.1
Установить пакет apache2-base:
# apt-get install apache2-base
Запустить httpd2:
# systemctl start httpd2
Убедиться, что служба httpd2 запущена:
# systemctl status httpd2
Создать стартовую страницу для веб-сервера:
# echo "Hello, World" >/var/www/html/index.html
Настройка рабочей станции 6.8.5.2
Запустить браузер, перейти по адресу http://<IP-адрес> (Рис. 170).
Обращение к серверу и получение данных по протоколу http
Рис. 170
Также можно выполнить команду:
$ curl http://192.168.88.218
Hello, World
Происходит обращение к серверу и получение данных по протоколу http.
6.9 Виртуальная (экранная) клавиатура
Onboard – гибкая в настройках виртуальная (экранная) клавиатура.
Виртуальная клавиатура полезна тогда, когда по каким либо причинам, нет возможности
использовать обычную клавиатуру. Так же виртуальная клавиатура может оказаться удобной
пользователям сенсорных экранов (touchscreen).
П р и м е ч а н и е . Должен быть установлен пакет onboard:
# apt-get install onboard
6.9.1 Клавиатура onboard при входе в систему
Для того чтобы появилась возможность использовать виртуальную клавиатуру при входе в
систему необходимо в файле /etc/lightdm/lightdm-gtk-greeter.conf выставить
параметр keyboard в значение 'onboard --xid':
172
# vim /etc/lightdm/lightdm-gtk-greeter.conf
[greeter]
...
keyboard=onboard --xid
...
Чтобы запустить виртуальную клавиатуру на странице входа, следует нажать клавишу
<F3> или щѐлкнуть значок человека на верхней панели, а затем отметить пункт «Экранная
клавиатура» (Рис. 171).
На экране появится виртуальная клавиатура (Рис. 172), еѐ можно использовать для ввода
имени пользователя и пароля.
Страница входа в систему
Рис. 171
6.9.2 Клавиатура onboard при разблокировке экрана
Для того, чтоб клавиатура работала при разблокировке экрана, следует выставить
следующие параметры dconf:
org.mate.screensaver.embedded-keyboard-enabled=true
org.mate.screensaver.embedded-keyboard-command="onboard --xid"
Установить параметры dconf для конкретного пользователя можно, выполнив команды
(под этим пользователем):
173
$ gsettings set org.mate.screensaver embedded-keyboard-enabled true
$ gsettings set org.mate.screensaver embedded-keyboard-command
"onboard --xid"
Виртуальная клавиатура при входе в систему
Рис. 172
Для того чтобы выставить настройки dconf глобально для всех пользователей,
необходимо (все действия выполняются от имени root):
1. Создать файл /etc/dconf/profile/user следующего содержания:
user-db:user
system-db:local
2. Создать, если он еще не создан, каталог /etc/dconf/db/local.d:
# mkdir /etc/dconf/db/local.d
3. Создать файл для локальной базы данных в
/etc/dconf/db/local.d/00_screensaver следующего содержания:
[org/mate/screensaver]
embedded-keyboard-enabled=true
embedded-keyboard-command="onboard --xid"
4. Обновить системные базы данных, выполнив команду:
174
# dconf update
Просмотреть настройки org.mate.screensaver можно, выполнив команду:
$ gsettings list-recursively org.mate.screensaver
org.mate.screensaver mode 'single'
org.mate.screensaver status-message-enabled true
org.mate.screensaver lock-dialog-theme 'default'
org.mate.screensaver logout-command ''
org.mate.screensaver user-switch-enabled true
org.mate.screensaver embedded-keyboard-enabled true
org.mate.screensaver idle-activation-enabled true
org.mate.screensaver lock-delay 0
org.mate.screensaver logout-delay 120
org.mate.screensaver cycle-delay 10
org.mate.screensaver lock-enabled false
org.mate.screensaver logout-enabled false
org.mate.screensaver embedded-keyboard-command 'onboard --xid'
org.mate.screensaver themes ['screensavers-gnomelogo-floaters']
org.mate.screensaver power-management-delay 30
В результате при разблокировке экрана появится виртуальная клавиатура (Рис. 174), еѐ
можно использовать для ввода пароля.
6.10 Настройка многоместного режима
Модуль «Настройка нескольких рабочих мест» – графическое средство настройки
мультитерминального режима, позволяющего обеспечить одновременную работу нескольких
пользователей на одном компьютере.
Для настройки многоместного режима необходимо в ЦУС перейти в раздел «Система» →
«Настройка нескольких рабочих мест».
П р и м е ч а н и е . Должен быть установлен пакет alterator-multiseat:
# apt-get install alterator-multiseat
П р и м е ч а н и е . Необходимым условием для организации нескольких рабочих мест
является наличие нескольких видеокарт, одна из которых может быть встроенной. Если вам нужно
три места, потребуется 3 видеокарты. Для реальной одновременной работы на нескольких рабочих
местах кроме видеокарты понадобятся мониторы и комплекты клавиатуры/мыши на каждое
рабочее место. Клавиатура и мышь могут быть подключены по USB, возможно через хаб.
175
По умолчанию в системе есть единственное рабочее место с именем seat0, к которому
подключены все доступные устройства, они перечислены в списке «Устройства seat0» (Рис. 173).
Это рабочее место нельзя удалить или изменить.
Страница входа в систему
Рис. 173
В списке «Рабочие места» перечислены дополнительные рабочие места (если они есть), в
скобках приводится количество подключенных к данному месту устройств. Чтобы просмотреть
устройства, подключенные к дополнительному рабочему месту, необходимо выделить его в спис-
ке «Рабочие места», устройства будут показаны в списке «Устройства рабочего места».
Создание дополнительного рабочего места:
1. Ввести имя нового рабочего места в поле ввода, расположенное под списком рабочих мест,
и нажать кнопку «Добавить». Новое рабочее место будет добавлено в список «Рабочие
места».
П р и м е ч а н и е . Имя рабочего места может содержать только символы a-z, A-Z, 0-9, "-" и
"_" и должно начинаться с префикса seat. По умолчанию будут сгенерированы имена: seat1,
seat2 и т.д.
2. Выделить нужное рабочее место в списке «Рабочие места», а в списке «Устройства seat0»
выбрать устройство, которое будет назначено выбранному рабочему месту. Нажать кнопку
«Добавить». Устройство появится в списке устройств выбранного рабочего места.
Выделить дополнительному рабочему месту видеокарту, клавиатуру и мышь (Рис. 174).
П р е д у п р е ж д е н и е . Основную видеокарту нельзя переключать на другие рабочие ме-
ста.
176
3. Аналогичным образом настроить все рабочие места.
4. Для подключения назначенных устройств к дополнительным рабочим местам необходимо
нажать кнопку «Применить». Чтобы настройки вступили в силу необходимо перезагрузить
компьютер (Рис. 175).
Устройства рабочего места
Рис. 174
Активация многоместного режима
Рис. 175
177
Если после перезагрузки на мониторы не выводится никакая информация, это означает, что
«закреплѐнная» за seat0 видеокарта была передана на другое рабочее место.
Чтобы исправить данную проблему необходимо сбросить настройки. Для этого залогинь-
тесь во второй текстовой консоли и удалите дополнительные рабочие места, выполнив команду
(от root):
# loginctl flush-devices
Перезагрузите компьютер.
178
7 ОГРАНИЧЕНИЕ ДЕЙСТВИЙ ПОЛЬЗОВАТЕЛЯ
7.1 Ограничение полномочий пользователей
7.1.1 Ограничение полномочий пользователей по использованию консолей
Отключение влияния бита SUID на привилегии порождаемого процесса в ЦУС 7.1.1.1
Для включения запрета бита исполнения необходимо в ЦУС перейти в раздел «Система» →
«Блокировка терминала».
П р и м е ч а н и е . Должен быть установлен пакет alterator-secsetup:
# apt-get install alterator-secsetup
В списке пользователей следует выбрать пользователя, в окне «Список TTY» отметить кон-
соли, которые должны быть заблокированы для данного пользователя, перенести их в окно «За-
блокированные TTY» и нажать кнопку «Применить» (Рис. 176).
Ограничение полномочий пользователей по использованию консолей
Рис. 176
Настройка ограничения в консоли 7.1.1.2
Чтобы ограничить консольный доступ для пользователей/групп с помощью модуля
pam_access.so необходимо внести изменения в файл /etc/security/access.conf.
Чтобы ограничить доступ для всех пользователей, кроме пользователя root, следует внести
следующие изменения:
# vim /etc/security/access.conf
-:ALL EXCEPT root: tty2 tty3 tty4 tty5 tty6 localhost
179
Доступ может быть ограничен для конкретного пользователя:
# vim /etc/security/access.conf
-:user: tty2 tty3 tty4 tty5 tty6 LOCAL
Доступ может быть ограничен для группы, содержащей несколько пользователей:
# vim /etc/security/access.conf
-:group:tty1 tty2 tty3 tty4 tty5 tty6 LOCAL
Далее необходимо сконфигурировать стек PAM для использования модуля pam_access.so
для ограничения доступа на основе ограничений, определенных в файле
/etc/security/access.conf. Для этого дописать в файл /etc/pam.d/system-auth-
local строку account required pam_access.so после строки account required
pam_tcb.so:
auth required pam_tcb.so shadow fork prefix=$2y$
count=8 nullok
account required pam_tcb.so shadow fork
account required pam_access.so
password required pam_passwdqc.so con-
fig=/etc/passwdqc.conf
password required pam_tcb.so use_authtok shadow fork
prefix=$2y$ count=8 nullok write_to=tcb
session required pam_tcb.so
session required pam_mktemp.so
session required pam_limits.so
7.1.2 Ограничение числа параллельных сеансов доступа для каждой учетной записи пользовате-
ля информационной системы
В файле /etc/security/limits.conf определяются ограничения ресурсов системы
для пользователя или группы пользователей. Формат файла:
<domain> <type> <item> <value>
Первое поле (domain) может содержать:
имя пользователя;
имя группы. Перед именем группы нужно указать символ «@»;
символ «*». Данное ограничение будет ограничением по умолчанию.
Второе поле – это тип ограничения: мягкое (soft) или жесткое (hard). Мягкое ограничение
определяет число системных ресурсов, которое пользователь все еще может превысить, жесткое
ограничение превысить невозможно. При попытке сделать это, пользователь получит сообщение
об ошибке.
180
Элементом ограничения (item) может быть:
core – ограничение размера файла core (Кбайт);
data – максимальный размер данных (Кбайт);
fsize – максимальный размер файла (Кбайт);
memlock – максимальное заблокированное адресное пространство (Кбайт);
nofile – максимальное число открытых файлов;
stack – максимальный размер стека (Кбайт);
cpu – максимальное время процессора (минуты);
nproc – максимальное число процессов;
as – ограничение адресного пространства;
maxlogins – максимальное число одновременных регистраций в системе;
ocks – максимальное число файлов блокировки.
Чтобы установить максимальное число процессов для пользователя user в файл limits.conf
нужно добавить записи:
user soft nproc 50
user hard nproc 60
Первая строка определяет мягкое ограничение (равное 50), а вторая – жесткое.
Следующие строки обеспечат одновременную работу не более 15 пользователей из каждой
группы пользователей (group1 и group2):
@group1 - maxlogins 14
@group2 - maxlogins 14
В первом и втором случае из каждой группы пользователей одновременно работать смогут
не более 15. При регистрации шестнадцатый пользователь увидит сообщение:
Too many logins for ' group1'.
Следующая запись ограничит число параллельных сеансов доступа для каждой учетной за-
писи пользователей:
* - maxlogins 5
7.2 Блокировка макросов в приложениях
Для того чтобы включить блокировку макросов в приложениях необходимо в ЦУС перейти
в раздел «Система» → «Настройки безопасности».
П р и м е ч а н и е . Должен быть установлен пакет alterator-secsetup:
# apt-get install alterator-secsetup
В открывшемся окне следует отметить пункт «Блокировать макросы приложений» и нажать
кнопку «Применить» (Рис. 177).
181
Блокировка макросов в приложениях
Рис. 177
Макросы будут заблокированы.
7.3 Модуль AltHa
AltHa – это модуль безопасности Linux, который в настоящее время имеет три варианта за-
щиты пользовательского пространства:
игнорировать биты SUID в двоичных файлах (возможны исключения);
запретить запуск выбранных интерпретаторов в интерактивном режиме;
отключить возможность удаления открытых файлов в выбранных каталогах.
Для включения модуля AltHa необходимо передать ядру параметр altha=1. Для этого в
файле /etc/sysconfig/grub2 в строке GRUB_CMDLINE_LINUX_DEFAULT следует доба-
вить опцию: altha=1, например:
# vim /etc/sysconfig/grub2
...
GRUB_CMDLINE_LINUX_DEFAULT='vga=0x314 quiet resume=/dev/disk/by-
uuid/187504b7-7f78-486d-b383-1b638370d3eb panic=30 splash altha=1'
Обновить загрузчик, выполнив команду:
# update-grub
Перезагрузить систему.
Включить AltHa можно также в модуле «Настройка загрузчика GRUB2».
7.3.1 Запрет бита исполнения (SUID)
При включенном подмодуле altha.nosuid, биты SUID во всех двоичных файлах, кроме
явно перечисленных, игнорируются в масштабе всей системы.
182
Отключение влияния бита SUID на привилегии порождаемого процесса в ЦУС 7.3.1.1
Для включения запрета бита исполнения необходимо в ЦУС перейти в раздел «Система» →
«Настройки безопасности».
П р и м е ч а н и е . Должен быть установлен пакет alterator-secsetup:
# apt-get install alterator-secsetup
В открывшемся окне следует отметить пункт «Отключить влияние suid бита на привилегии
порождаемого процесса» и нажать кнопку «Применить» (Рис. 178).
Отключение влияния бита SUID на привилегии порождаемого процесса
Рис. 178
Исключения это список включенных двоичных файлов SUID, разделѐнных двоеточиями.
Отключение влияния бита SUID на привилегии порождаемого процесса в консоли 7.3.1.2
Для включения запрета бита исполнения следует установить значение переменной
kernel.altha.nosuid.enabled равным 1:
# sysctl -w kernel.altha.nosuid.enabled=1
И добавить, если это необходимо, исключения (список включенных двоичных файлов
SUID, разделенных двоеточиями), например:
# sysctl -w ker-
nel.altha.nosuid.exceptions="/bin/su:/usr/libexec/hasher-priv/hasher-
priv"
Проверка состояния режима запрета бита исполнения выполняется командой:
# sysctl -n kernel.altha.nosuid.enabled
1
183
Результат выполнения команды:
1 – режим включен;
0 – режим выключен.
7.3.2 Блокировка интерпретаторов (запрет запуска скриптов)
При включении блокировки интерпретаторов блокируется несанкционированное использо-
вание интерпретатора для выполнения кода напрямую из командной строки.
Блокировка интерпретаторов (запрет запуска скриптов) в ЦУС 7.3.2.1
Для включения режима блокировки интерпретаторов необходимо в ЦУС перейти в раздел
«Система» → «Настройки безопасности».
В открывшемся окне следует отметить пункт «Ограничить запуск интерпретаторов языков
программирования в интерактивном режиме» и нажать кнопку «Применить». Поле «Интерпрета-
торы» должно содержать разделѐнный запятыми список ограниченных интерпретаторов
(Рис. 179).
Блокировка интерпретаторов (запрет запуска скриптов)
Рис. 179
Блокировка интерпретаторов (запрет запуска скриптов) в консоли 7.3.2.2
Для включения режима блокировки интерпретаторов следует установить значение пере-
менной kernel.altha.rstrscript.enabled равным 1:
# sysctl -w kernel.altha.rstrscript.enabled=1
Переменная kernel.altha.rstrscript.interpreters должна содержать разде-
ленный двоеточиями список ограниченных интерпретаторов. Для изменения значения переменной
kernel.altha.rstrscript.interpreters выполнить команду:
184
# sysctl -w kernel.altha.rstrscript.interpreters=
"/usr/bin/python:/usr/bin/python3:/usr/bin/perl:/usr/bin/tclsh"
П р и м е ч а н и е . В этой конфигурации все скрипты, начинающиеся с #!/usr/bin/env
python, будут заблокированы.
Проверка состояния режима блокировки интерпретаторов выполняется командой:
# sysctl -n kernel.altha.rstrscript.enabled
1
Результат выполнения команды:
1 – режим включен;
0 – режим выключен.
Список заблокированных интерпретаторов:
# sysctl -n kernel.altha.rstrscript.interpreters
/usr/bin/python:/usr/bin/python3:/usr/bin/perl:/usr/bin/tclsh
7.3.3 Отключение возможности удаления открытых файлов
Отключение возможности удаления открытых файлов в ЦУС 7.3.3.1
Для отключения возможности удаления открытых файлов необходимо в ЦУС перейти в
раздел «Система» → «Настройки безопасности».
В открывшемся окне следует отметить пункт «Отключить возможность удаления открытых
файлов» и нажать кнопку «Применить». Поле «Каталоги» должно содержать разделѐнный запя-
тыми список каталогов, для которых будет действовать данное ограничение (Рис. 180).
Отключение возможности удаления открытых файлов
Рис. 180
185
Отключение возможности удаления открытых файлов в консоли 7.3.3.2
Для отключения возможности создания удаления открытых файлов следует установить
значение переменной kernel.altha.olock.enabled равным 1:
# sysctl -w kernel.altha.olock.enabled=1
Переменная kernel.altha.olock.dirs должна содержать разделенный двоеточиями
список каталогов, например: /var/lib/something:/tmp/something. Для изменения значе-
ния переменной kernel.altha.olock.dirs следует выполнить команду:
# sysctl -w kernel.altha.olock.dirs=
"/var/lib/something:/tmp/something"
Проверка состояния режима выполняется командой:
# sysctl -n kernel.altha.olock.enabled
1
Результат выполнения команды:
1 – режим включен;
0 – режим выключен.
186
8 УСТАНОВКА/ОБНОВЛЕНИЕ ПРОГРАММНОГО
ОБЕСПЕЧЕНИЯ
После установки ОС «Альт Рабочая станция», при первом запуске, доступен тот или иной
набор программного обеспечения. Количество предустановленных программ зависит от выбора,
сделанного при установке системы. Имеется возможность доустановить программы, которых не
хватает в системе, из разных источников.
Дополнительное программное обеспечение может находиться на установочном диске и/или
в специальных банках программ (репозиториях), расположенных в сети Интернет и/или в
локальной сети. Программы, размещѐнные в указанных источниках, имеют вид подготовленных
для установки пакетов.
8.1 Установка/обновление программного обеспечения в графической среде
8.1.1 Программа управления пакетами Synaptic
Запустить программу управления пакетами Synaptic можно, выбрав пункт «Меню MATE»
→ «Приложения» → «Параметры» → «Программа управления пакетами Synaptic».
При запуске необходимо ввести пароль администратора системы (Рис. 181).
Synaptic. Запрос пароля администратора
Рис. 181
Для облегчения поиска доступные для установки программы разделены на группы, выво-
димые в левой части окна программы (Рис. 182).
187
Программа управления пакетами Synaptic
Рис. 182
Справа расположен список самих программ с указанием их текущего состояния:
зелѐная метка – пакет уже установлен;
белая метка – пакет не установлен;
зелѐная метка со звѐздочкой – для установленного пакета имеется обновление.
При выборе пакета из списка в нижней части отображаются сведения о нем и его описание.
Перед тем как устанавливать или обновлять пакет, необходимо нажать на кнопку «Полу-
чить сведения» (<Ctrl>+<R>) для того чтобы скачать список самых последних версий ПО.
Для начала установки необходимо двойным щелчком мыши отметить неустановленный па-
кет в правой половине окна и нажать кнопку «Применить». При необходимости менеджер пакетов
попросит вставить установочный диск.
8.1.2 Добавление репозиториев в Synaptic
Программа Synaptic может использоваться для выбора репозитория, совместимого с
дистрибутивом. Для указания конкретного репозитория в меню «Параметры» → «Репозитории»
необходимо отметить один из предлагаемых вариантов и нажать кнопку «OK» (Рис. 183). К
188
предложенному списку можно добавить любые репозитории, нажав на кнопку «Создать» и введя
необходимые данные.
Добавление репозиториев в Synaptic
Рис. 183
После выбора и добавления репозиториев необходимо получить сведения о находящихся в
них пакетах (кнопка «Получить сведения» см. Рис. 182). В противном случае, список доступных
для установки программ будет не актуален.
8.2 Обновление системы
8.2.1 Обновление всех установленных пакетов
Обновить все установленные пакеты можно в программе Synaptic.
Synaptic поддерживает два варианта обновления системы:
умное обновление (рекомендуется) – попытается разрешить конфликты пакетов перед об-
новлением системы. Действие умного обновления аналогично действию команды
apt-get dist-upgrade;
стандартное обновление – обновление обновит только те пакеты, которые не требуют уста-
новки дополнительных зависимостей.
189
По умолчанию Synaptic использует умное обновление. Для того чтобы изменить метод
обновления системы необходимо открыть диалоговое окно «Параметры» («Параметры» →
«Параметры») и на вкладке «Основные» в списке «Обновить систему» выбрать требуемый способ.
Для обновления системы необходимо (Рис. 184):
1. Нажать кнопку «Получить сведения» (<Ctrl+<R>) для того чтобы скачать список самых
последних версий ПО.
2. Нажать кнопку «Отметить для обновления» (<Ctrl>+<G>) для того, чтобы Synaptic отметил
для обновления все пакеты.
3. Нажать кнопку «Применить». Будет показан список изменений, который произойдет при
обновлении пакетов (Рис. 185). Обратите внимание на объѐмы данных, которые будут
скачаны из сети. После подтверждения Synaptic начнѐт загружать файлы, после загрузки
начнѐтся непосредственно установка.
Обновление всех установленных пакетов в Synaptic
Рис. 184
190
Список изменений
Рис. 185
8.2.2 Обновление ядра ОС
Модуль ЦУС «Обновление ядра» реализует функционал утилиты update-kernel. Для
обновления ядра ОС необходимо в ЦУС перейти в раздел «Система» → «Обновление ядра».
В главном окне модуля отображается ядро, загруженное по умолчанию, и список установ-
ленных модулей ядра (Рис. 186).
191
Интерфейс модуля «Обновление ядра»
Рис. 186
Для того чтобы обновить ядро следует нажать кнопку «Обновить ядро…».
П р и м е ч а н и е . При нажатии кнопки «Обновить ядро…» локальная база данных пакетов
будет синхронизирована с удалѐнным репозиторием, это может занять некоторое время.
В открывшемся окне будет показано доступное к установке ядро (Рис. 187). Чтобы
обновить ядро, необходимо нажать кнопку «Обновить ядро». Далее следует подтвердить желание
обновить ядро нажатием кнопки «Да».
Доступное к установке ядро
Рис. 187
192
П р и м е ч а н и е . Новое ядро загрузится только после перезагрузки системы.
Если с новым ядром что-то пойдѐт не так, можно вернуться к предыдущему варианту,
выбрав его в начальном меню загрузчика.
8.3 Установка/обновление программного обеспечения в консоли
Для установки, удаления и обновления программ и поддержания целостности системы в
ОС семейства Linux используются менеджеры пакетов типа «rpm». Для автоматизации этого про-
цесса и применяется Усовершенствованная система управления программными пакетами APT
(Advanced Packaging Tool).
Автоматизация достигается созданием одного или нескольких внешних репозиториев, в ко-
торых хранятся пакеты программ и относительно которых производится сверка пакетов, установ-
ленных в системе. Репозитории могут содержать как официальную версию дистрибутива, обнов-
ляемую его разработчиками по мере выхода новых версий программ, так и локальные наработки,
например, пакеты, разработанные внутри компании.
Таким образом, в распоряжении APT находятся две базы данных: одна описывает установ-
ленные в системе пакеты, вторая – внешний репозиторий. APT отслеживает целостность установ-
ленной системы и, в случае обнаружения противоречий в зависимостях пакетов, руководствуется
сведениями о внешнем репозитории для разрешения конфликтов и поиска корректного пути их
устранения.
Система APT состоит из нескольких утилит. Чаще всего используется утилита управления
пакетами apt-get, которая автоматически определяет зависимости между пакетами и строго следит
за их соблюдением при выполнении любой из следующих операций: установка, удаление или об-
новление пакетов.
8.3.1 Источники программ (репозитории)
Репозитории, с которыми работает APT, отличаются от обычного набора пакетов наличием
мета информации – индексов пакетов, содержащихся в репозитории, и сведений о них. Поэтому,
чтобы получить всю информацию о репозитории, APT достаточно получить его индексы.
APT может работать с любым количеством репозиториев одновременно, формируя единую
информационную базу обо всех содержащихся в них пакетах. При установке пакетов APT обра-
щает внимание только на название пакета, его версию и зависимости, а расположение в том или
ином репозитории не имеет значения. Если потребуется, APT в рамках одной операции установки
группы пакетов может пользоваться несколькими репозиториями.
П р и м е ч а н ие. Для одновременного подключения нескольких репозиториев необходимо
отслеживать их совместимость друг с другом, т.е. их пакетная база должна отражать один опреде-
лѐнный этап разработки. Совместное использование репозиториев, относящихся к разным дистри-
193
бутивам, или смешивание стабильного репозитория с нестабильной веткой разработки (Sisyphus)
может привести к различным неожиданностям и трудностям при обновлении пакетов.
APT позволяет взаимодействовать с репозиторием с помощью различных протоколов до-
ступа. Наиболее популярные – HTTP и FTP, однако существуют и некоторые дополнительные ме-
тоды.
Для того чтобы APT мог использовать тот или иной репозиторий, информацию о нем необ-
ходимо поместить в файл /etc/apt/sources.list, либо в любой файл .list (например,
mysources.list) в каталоге /etc/apt/sources.list.d/. Описания репозиториев зано-
сятся в эти файлы в следующем виде:
rpm [подпись] метод: путь база название
rpm-src [подпись] метод: путь база название
где:
rpm или rpm-src – тип репозитория (скомпилированные программы или исходные тексты);
[подпись] – необязательная строка-указатель на электронную подпись разработчиков.
Наличие этого поля подразумевает, что каждый пакет из данного репозитория должен быть
подписан соответствующей электронной подписью. Подписи описываются в файле
/etc/apt/vendor.list;
метод – способ доступа к репозиторию: ftp, http, file, cdrom, copy;
путь – путь к репозиторию в терминах выбранного метода;
база – относительный путь к базе данных репозитория;
название – название репозитория.
При выборе пакетов для установки APT руководствуется всеми доступными репозитория-
ми вне зависимости от способа доступа к ним. Таким образом, если в репозитории, доступном по
сети Интернет, обнаружена более новая версия программы, чем на CD (DVD)-носителе информа-
ции, APT начнет загружать данный пакет по сети.
Добавление репозиториев 8.3.1.1
Непосредственно после установки дистрибутива «Альт Рабочая станция» в
/etc/apt/sources.list, а также в файлах /etc/apt/sources.list.d/*.list обычно
указывается несколько репозиториев:
репозиторий с установочного диска дистрибутива;
интернет-репозиторий, совместимый с установленным дистрибутивом.
8.3.1.1.1 Скрипт apt-repo для работы с репозиториями
Для добавления репозиториев можно воспользоваться скриптом apt-repo.
П р и м е ч а н и е . Для выполнения большинства команд необходимы права администратора.
194
Просмотреть список активных репозиториев можно, выполнив команду:
$ apt-repo list
Команда добавления репозитория в список активных репозиториев:
apt-repo add <репозиторий>
Команда удаления или выключения репозитория:
apt-repo rm <репозиторий>
Команда удаления всех репозиториев:
apt-repo clean
Обновление информации о репозиториях:
apt-repo update
Вывод справки:
man apt-repo
или
apt-repo –help
Типичный пример использования: удалить все источники и добавить стандартный репози-
торий P9 (архитектура выбирается автоматически):
# apt-repo rm all
# apt-repo add p9
8.3.1.1.2 Добавление репозитория на CD/DVD-носителе
Для добавления в sources.list репозитория на CD/DVD-носителе информации в APT
предусмотрена специальная утилита – apt-cdrom. Чтобы добавить запись о репозитории на но-
сителе, достаточно вставить его в привод для чтения (записи) CD (DVD)-носителей информации и
выполнить следующую команду:
# apt-cdrom add
После этого в sources.list появится запись о подключенном диске примерно такого
вида:
rpm cdrom:[ALT Workstation 9.0 x86_64 build 2019-07-22]/ ALTLinux main
П р и м е ч а н и е . В случае если записи для cdrom в файле /etc/fstab нет, потребуется
примонтировать носитель информации вручную (каталог /media/ALTLinux должен существо-
вать):
# mount /dev/cdrom /media/ALTLinux
Затем использовать команду добавления носителя с дополнительным ключом:
# apt-cdrom add -m
8.3.1.1.3 Добавление репозиториев вручную
Для редактирования списка репозиториев можно отредактировать в любом текстовом ре-
195
дакторе файлы из папки /etc/apt/sources.list.d/. Для изменения этих файлов необходи-
мы права администратора. В файле alt.list может содержаться такая информация:
rpm [alt] http://ftp.altlinux.org/pub/distributions/ALTLinux p9/x86_64
classic
rpm [alt] http://ftp.altlinux.org/pub/distributions/ALTLinux
p9/x86_64-i586 classic
rpm [alt] http://ftp.altlinux.org/pub/distributions/ALTLinux p9/noarch
classic
По сути, каждая строчка соответствует некому репозиторию. Для выключения репозитория
достаточно закомментировать соответствующую строку (дописать символ решѐтки перед стро-
кой). Для добавления нового репозитория необходимо дописать его вниз этого или любого друго-
го файла.
Обновление информации о репозиториях 8.3.1.2
В случае если в sources.list присутствует репозиторий, содержимое которого может
изменяться, как происходит с любым постоянно разрабатываемым репозиторием, в частности, об-
новлений по безопасности (updates), то прежде чем работать с APT, необходимо синхронизировать
локальную базу данных с удаленным сервером.
Обновление данных осуществляется командой:
# apt-get update
После выполнения этой команды, apt обновит свой кэш новой информацией.
Локальная база данных создается заново каждый раз, когда в репозитории происходит из-
менение: добавление, удаление или переименование пакета. Для репозиториев, находящихся на
извлекаемых носителях информации и подключенных командой apt-cdrom add, синхрониза-
ция производится единожды в момент подключения.
Практически любое действие с системой apt начинается с обновления данных от активиро-
ванных источников. Список источников необходимо обновлять при поиске новой версии пакета,
установке пакетов или обновлении установленных пакетов новыми версиями.
8.3.2 Поиск пакетов
Утилита apt-cache предназначена для поиска программных пакетов, в репозитории, и
позволяет искать не только по имени пакета, но и по его описанию.
Команда apt-cache search <подстрока> позволяет найти все пакеты, в именах или
описании которых присутствует указанная подстрока. Пример поиска может выглядеть следую-
щим образом:
$ apt-cache search ^gimp
196
gimp - The GNU Image Manipulation Program
libgimp - GIMP libraries
gimp-help-en - English help files for the GIMP
gimp-help-ru - Russian help files for the GIMP
gimp-script-ISONoiseReduction - Gimp script for reducing sensor noise
at high ISO values
gimp-plugin-gutenprint - GIMP plug-in for gutenprint [...]
Символ «^» в поисковом выражении, указывает на то, что необходимо найти совпадения
только в начале строки (в данном случае – в начале имени пакета).
Для того чтобы подробнее узнать о каждом из найденных пакетов и прочитать его
описание, можно воспользоваться командой apt-cache show, которая покажет информацию о
пакете из репозитория:
$ apt-cache show gimp-help-ru
Package: gimp-help-ru
Section: Graphics
Installed Size: 37095561
Maintainer: Alexey Tourbin <at@altlinux.ru>
Version: 2.6.1-alt2
Pre-Depends: rpmlib(PayloadIsLzma)
Provides: gimp-help-ru (= 2.6.1-alt2)
Obsoletes: gimp-help-common (< 2.6.1-alt2)
Architecture: noarch
Size: 28561160
MD5Sum: 0802d8f5ec1f78af6a4a19005af4e37d
Filename: gimp-help-ru-2.6.1-alt2.noarch.rpm
Description: Russian help files for the GIMP
Russian help files for the GIMP.
При поиске с помощью apt-cache можно использовать русскую подстроку. В этом
случае будут найдены пакеты, имеющие описание на русском языке.
8.3.3 Установка или обновление пакета
Установка пакета с помощью APT выполняется командой:
# apt-get install <имя_пакета>
П р и м е ч а н и е . Перед установкой и обновлением пакетов необходимо выполнить команду
обновления индексов пакетов:
# apt-get update
197
Если пакет уже установлен и в подключенном репозитории нет обновлений для данного
пакета, система сообщит об уже установленном пакете последней версии. Если в репозитории
присутствует более новая версия или новое обновление – программа начнет процесс установки.
apt-get позволяет устанавливать в систему пакеты, требующие для работы другие, пока
еще не установленные. В этом случае он определяет, какие пакеты необходимо установить, и
устанавливает их, пользуясь всеми доступными репозиториями.
Установка пакета gimp командой apt-get install gimp приведет к следующему
диалогу с APT:
# apt-get install gimp
Чтение списков пакетов... Завершено
Построение дерева зависимостей... Завершено
Следующие дополнительные пакеты будут установлены:
icc-profiles libbabl libgegl libgimp libjavascriptcoregtk2 libopenraw
libspiro libwebkitgtk2 libwmf
Следующие НОВЫЕ пакеты будут установлены:
gimp icc-profiles libbabl libgegl libgimp libjavascriptcoregtk2
libopenraw libspiro libweb-kitgtk2 libwmf
0 будет обновлено, 10 новых установлено, 0 пакетов будет удалено и 0
не будет обновлено.
Необходимо получить 0B/24,6MB архивов.
После распаковки потребуется дополнительно 105MB дискового
пространства.
Продолжить? [Y/n] y
. . .
Получено 24,6MB за 0s (44,1MB/s).
Совершаем изменения...
Preparing... ####################### [100%]
1: libbabl ####################### [ 10%]
2: libwmf ####################### [ 20%]
3: libjavascriptcoregtk2 ####################### [ 30%]
4: libwebkitgtk2 ####################### [ 40%]
5: icc-profiles ####################### [ 50%]
6: libspiro ####################### [ 60%]
7: libopenraw ####################### [ 70%]
8: libgegl ####################### [ 80%]
198
9: libgimp ####################### [ 90%]
10: gimp ####################### [100%]
Running /usr/lib/rpm/posttrans-filetriggers
Завершено.
Команда apt-get install <имя_пакета> используется и для обновления уже
установленного пакета или группы пакетов. В этом случае apt-get дополнительно проверяет, не
обновилась ли версия пакета в репозитории по сравнению с установленным в системе.
При помощи APT можно установить и отдельный бинарный rpm-пакет, не входящий ни в
один из репозиториев. Для этого достаточно выполнить команду apt-get install
путь_к_файлу.rpm. При этом APT проведет стандартную процедуру проверки зависимостей и
конфликтов с уже установленными пакетами.
В результате операций с пакетами без использования APT может нарушиться целостность
ОС «Альт Рабочая станция», и apt-get в таком случае откажется выполнять операции
установки, удаления или обновления.
Для восстановления целостности ОС «Альт Рабочая станция» необходимо повторить
операцию, задав опцию -f, заставляющую apt-get исправить нарушенные зависимости,
удалить или заменить конфликтующие пакеты. Любые действия в этом режиме обязательно
требуют подтверждения со стороны пользователя.
При установке пакетов происходит запись в системный журнал вида:
apt-get: имя-пакета installed
8.3.4 Удаление установленного пакета
Для удаления пакета используется команда apt-get remove <имя_пакета>. Удале-
ние пакета с сохранением его файлов настройки производится при помощи следующей команды:
# apt-get remove <значимая_часть_имени_пакета>
В случае если при этом необходимо полностью очистить систему от всех компонент удаля-
емого пакета, то применяется команда:
# apt-get remove --purge <значимая_часть_имени_пакета>
Для того чтобы не нарушать целостность системы, будут удалены и все пакеты, зависящие
от удаляемого.
В случае удаления с помощью apt-get базового компонента системы появится запрос на
подтверждение операции:
# apt-get remove filesystem
Обработка файловых зависимостей... Завершено
Чтение списков пакетов... Завершено
Построение дерева зависимостей... Завершено
199
Следующие пакеты будут УДАЛЕНЫ:
basesystem filesystem ppp sudo
Внимание: следующие базовые пакеты будут удалены:
В обычных условиях этого не должно было произойти, надеемся, вы точно
представляете, чего требуете!
basesystem filesystem (по причине basesystem)
0 пакетов будет обновлено, 0 будет добавлено новых, 4 будет
удалено(заменено) и 0 не будет обновлено.
Необходимо получить 0B архивов. После распаковки 588kБ будет
освобождено.
Вы делаете нечто потенциально опасное!
Введите фразу 'Yes, do as I say!' чтобы продолжить.
Каждую ситуацию, в которой APT выдает такое сообщение, необходимо рассматривать от-
дельно. Однако, вероятность того, что после выполнения этой команды система окажется нерабо-
тоспособной, очень велика.
При удалении пакетов происходит запись в системный журнал вида:
apt-get: имя-пакета removed
8.3.5 Обновление всех установленных пакетов
Полное обновление всех установленных в системе пакетов производится при помощи ко-
манд:
# apt-get update
# apt-get dist-upgrade
Первая команда (apt-get update) обновит индексы пакетов. Вторая команда (apt-get
dist-upgrade) позволяет обновить только те установленные пакеты, для которых в репозито-
риях, перечисленных в /etc/apt/sources.list, имеются новые версии.
В случае обновления всего дистрибутива APT проведѐт сравнение системы с репозиторием
и удалит устаревшие пакеты, установит новые версии присутствующих в системе пакетов, отсле-
дит ситуации с переименованиями пакетов или изменения зависимостей между старыми и новыми
версиями программ. Все, что потребуется поставить (или удалить) дополнительно к уже имеюще-
муся в системе, будет указано в отчете apt-get, которым APT предварит само обновление.
П р и м е ч а н и е . Команда apt-get dist-upgrade обновит систему, но ядро ОС не бу-
дет обновлено.
8.3.6 Обновление ядра
Для обновления ядра ОС необходимо выполнить команду:
# update-kernel
200
П р и м е ч а н и е . Если индексы пакетов сегодня еще не обновлялись перед выполнением
команды update-kernel необходимо выполнить команду apt-get update.
Команда update-kernel обновляет и модули ядра, если в репозитории обновилось что-
то из модулей без обновления ядра.
Новое ядро загрузится только после перезагрузки системы.
8.4 Единая команда управления пакетами (epm)
Основное назначение единой команды управления пакетами – унифицировать управление
пакетами в дистрибутивах с разными пакетными менеджерами. Утилита epm упрощает процедуру
управления пакетами, может использоваться в скриптах и установщиках, сервисных программах, в
повседневном администрировании различных систем. В epm добавлены типовые операции, кото-
рые в случае использования apt, потребовали бы ввода более одной команды.
Единая команда управления пакетами включает в себя следующую функциональность:
управление пакетами (установка/удаление/поиск);
управление репозиториями (добавление/удаление/обновление/список);
управление системными сервисами (включение/выключение/список).
Список поддерживаемых пакетных менеджеров: rpm, deb, tgz, tbz, tbz2, apk, pkg.gz.
П р и м е ч а н и е . Установка утилиты epm, если она еще не установлена, выполняется ко-
мандой:
# apt-get install eepm
Подробную информацию об утилите epm и еѐ опциях можно получить, выполнив команду:
$ epm --help
Ниже описаны лишь некоторые возможности утилиты epm.
Установка пакета из репозитория или из локального файла в систему:
epm install <имя_пакета>
П р и м е ч а н и е . Если пакет создан сторонним поставщиком, то при его установке коман-
дой epm install не будут выполнены установочные скрипты из пакета. Это предохраняет си-
стему от повреждения, но может привести к тому, что пакет не заработает. Вернуть стандартное
поведение можно добавлением --scripts:
epm install --scripts <имя_пакета>
Установить сторонние программы безопасным и простым способом:
epm play <имя_программы>
Список программ, которые можно установить данной командой, можно просмотреть, вы-
полнив команду:
$ epm play
201
Run with a name of a play script to run:
anydesk - Install AnyDesk from the official site
assistant - Install Assistant (Ассистент) from the
official site
…
yandex-browser - Install Yandex browser from the official site
yandex-disk - Install Yandex Disk from the official site
zoom - Install Zoom client from the official site
Команда epm play требует наличия доступа в сеть Интернет.
П р и м е ч а н и е . Для некоторых сторонних rpm-пакетов, написаны дополнительные пра-
вила для перепаковки (при перепаковке пакета создаѐтся пакет, учитывающий, что нужно для ра-
боты исходного пакета). Установить такие пакеты можно, выполнив команду:
epm install --repack <имя_пакета>
Для deb-пакетов ключ --repack применяется автоматически.
Удаление пакета из системы:
epm remove <имя_пакета>
Поиск пакета в репозитории:
epm search <текст>
Получить список установленных пакетов:
$ epm list
Удалить пакеты, от которых не зависят какие-либо другие пакеты, установленные в систе-
ме:
# epm autoremove
Обновить все установленные пакеты и ядро ОС:
# epm full-upgrade
П р и м е ч а н и е . Утилита yum (должен быть установлен пакет eepm-yum), позволяет ими-
тировать работу менеджера пакетов yum, например:
$ yum search docs-alt-kworkstation
$ apt-cache search -- docs-alt-kworkstation | egrep -i --color --
"(docs-alt-kworkstation)"
docs-alt-kworkstation - ALT KWorkstation documentation
202
9 ОБЩИЕ ПРИНЦИПЫ РАБОТЫ ОС
Работа с операционной средой заключается в вводе определенных команд (запросов) к опе-
рационной среде и получению на них ответов в виде текстового отображения.
Основой операционной среды является операционная система.
Операционная система (ОС) – совокупность программных средств, организующих согласо-
ванную работу операционной среды с аппаратными устройствами компьютера (процессор, память,
устройства ввода-вывода и т. д.).
Диалог с ОС осуществляется посредством командных интерпретаторов и системных биб-
лиотек.
Каждая системная библиотека представляет собой набор программ, динамически вызывае-
мых операционной системой.
Командные интерпретаторы – особый род специализированных программ, позволяющих
осуществлять диалог с ОС посредством команд.
Для удобства пользователей при работе с командными интерпретаторами используются ин-
терактивные рабочие среды (далее – ИРС), предоставляющие пользователю удобный интерфейс
для работы с ОС.
В самом центре ОС изделия находится управляющая программа, называемая ядром. В ОС
изделия используется новейшая модификация «устойчивого» ядра Linux – версия 5.4.
Ядро взаимодействует с компьютером и периферией (дисками, принтерами и т. д.), распре-
деляет ресурсы и выполняет фоновое планирование заданий.
Другими словами, ядро ОС изолирует пользователя от сложностей аппаратуры компьюте-
ра, командный интерпретатор от ядра, а ИРС от командного интерпретатора.
9.1 Процессы и файлы
ОС «Альт Рабочая станция» является многопользовательской интегрированной системой.
Это значит, что она разработана в расчете на одновременную работу нескольких пользователей.
Пользователь может либо сам работать в системе, выполняя некоторую последовательность
команд, либо от его имени могут выполняться прикладные процессы.
Пользователь взаимодействует с системой через командный интерпретатор, который пред-
ставляет собой, как было сказано выше, прикладную программу, которая принимает от пользова-
теля команды или набор команд и транслирует их в системные вызовы к ядру системы. Интерпре-
татор позволяет пользователю просматривать файлы, передвигаться по дереву файловой системы,
запускать прикладные процессы. Все командные интерпретаторы UNIX имеют развитый команд-
ный язык и позволяют писать достаточно сложные программы, упрощающие процесс админи-
стрирования системы и работы с ней.
203
9.1.1 Процессы функционирования ОС
Все программы, которые выполняются в текущий момент времени, называются процесса-
ми. Процессы можно разделить на два основных класса: системные процессы и пользовательские
процессы. Системные процессы – программы, решающие внутренние задачи ОС, например, орга-
низацию виртуальной памяти на диске или предоставляющие пользователям те или иные сервисы
(процессы-службы).
Пользовательские процессы – процессы, запускаемые пользователем из командного интер-
претатора для решения задач пользователя или управления системными процессами. Linux изна-
чально разрабатывался как многозадачная система. Он использует технологии, опробованные и
отработанные другими реализациями UNIX, которые существовали ранее.
Фоновый режим работы процесса – режим, когда программа может работать без взаимо-
действия с пользователем. В случае необходимости интерактивной работы с пользователем (в об-
щем случае) процесс будет «остановлен» ядром, и работа его продолжится только после переведе-
ния его в «нормальный» режим работы.
9.1.2 Файловая система ОС
В ОС использована файловая система Linux, которая в отличие от файловых систем DOS и
Windows(™) является единым деревом. Корень этого дерева – каталог, называемый root (рут), и
обозначаемый «/». Части дерева файловой системы могут физически располагаться в разных раз-
делах разных дисков или вообще на других компьютерах, – для пользователя это прозрачно. Про-
цесс присоединения файловой системы раздела к дереву называется монтированием, удаление –
размонтированием. Например, файловая система CD-ROM в изделии монтируется по умолчанию в
каталог /media/cdrom (путь в изделии обозначается с использованием «/», а не «\», как в
DOS/Windows). Текущий каталог обозначается «./».
Файловая система изделия содержит каталоги первого уровня:
/bin (командные оболочки (shell), основные утилиты);
/boot (содержит ядро системы);
/dev (псевдофайлы устройств, позволяющие работать с ними напрямую);
/etc (файлы конфигурации);
/home (личные каталоги пользователей);
/lib (системные библиотеки, модули ядра);
/lib64 (64-битные системные библиотеки);
/media (каталоги для монтирования файловых систем сменных устройств);
/mnt (каталоги для монтирования файловых систем сменных устройств и внешних файло-
вых систем);
204
/proc (файловая система на виртуальном устройстве, ее файлы содержат информацию о те-
кущем состоянии системы);
/root (личный каталог администратора системы);
/sbin (системные утилиты);
/sys (файловая система, содержащая информацию о текущем состоянии системы);
/usr (программы и библиотеки, доступные пользователю);
/var (рабочие файлы программ, очереди, журналы);
/tmp (временные файлы).
9.1.3 Организация файловой структуры
Система домашних каталогов пользователей помогает организовывать безопасную работу
пользователей в многопользовательской системе. Вне своего домашнего каталога пользователь
обладает минимальными правами (обычно чтение и выполнение файлов) и не может нанести
ущерб системе, например, удалив или изменив файл.
Кроме файлов, созданных пользователем, в его домашнем каталоге обычно содержатся
персональные конфигурационные файлы некоторых программ.
Маршрут (путь) – это последовательность имѐн каталогов, представляющий собой путь в
файловой системе к данному файлу, где каждое следующее имя отделяется от предыдущего
наклонной чертой (слэшем). Если название маршрута начинается со слэша, то путь в искомый
файл начинается от корневого каталога всего дерева системы. В обратном случае, если название
маршрута начинается непосредственно с имени файла, то путь к искомому файлу должен начаться
от текущего каталога (рабочего каталога).
Имя файла может содержать любые символы за исключением косой черты (/). Однако сле-
дует избегать применения в именах файлов большинства знаков препинания и непечатаемых сим-
волов. При выборе имен файлов рекомендуется ограничиться следующими символам:
строчные и ПРОПИСНЫЕ буквы. Следует обратить внимание на то, что регистр всегда
имеет значение;
цифры;
символ подчеркивания ( _ );
точка ( . ).
Для удобства работы можно использовать точку ( . )для отделения имени файла от расши-
рения файла. Данная возможность может быть необходима пользователям или некоторым про-
граммам, но не имеет значение для shell.
9.1.4 Иерархическая организация файловой системы
Каталог /:
205
/boot – место, где хранятся файлы необходимые для загрузки ядра системы;
/lib – здесь располагаются файлы динамических библиотек, необходимых для работы
большей части приложений и подгружаемые модули ядра;
/lib64 – здесь располагаются файлы 64-битных динамических библиотек, необходимых для
работы большей части приложений;
/bin – минимальный набор программ необходимых для работы в системе;
/sbin – набор программ для административной работы с системой (программы необходимые
только суперпользователю);
/home – здесь располагаются домашние каталоги пользователей;
/etc – в данном каталоге обычно хранятся общесистемные конфигурационные файлы для
большинства программ в системе;
/etc/rc?.d,/etc/init.d,/etc/rc.boot,/etc/rc.d – каталоги, где расположены командные файлы си-
стемы инициализации SysVinit;
/etc/passwd – база данных пользователей, в которой содержится информация об имени
пользователя, его настоящем имени, личном каталоге, закодированный пароль и другие данные;
/etc/shadow – теневая база данных пользователей. При этом информация из файла
/etc/passwd перемещается в /etc/shadow, который недоступен по чтению всем, кроме пользователя
root. В случае использования альтернативной схемы управления теневыми паролями (TCB) все
теневые пароли для каждого пользователя располагаются в каталоге /etc/tcb/<имя пользо-
вателя>/shadow;
/dev – в этом каталоге находятся файлы устройств. Файлы в /dev создаются сервисом
udev;
/usr – обычно файловая система /usr достаточно большая по объему, так как все програм-
мы установлены именно здесь. Вся информация в каталоге /usr помещается туда во время уста-
новки системы. Отдельно устанавливаемые пакеты программ и другие файлы размещаются в ка-
талоге /usr/local. Некоторые подкаталоги системы /usr рассмотрены ниже;
/usr/bin – практически все команды, хотя некоторые находятся в /bin или в
/usr/local/bin;
/usr/sbin – команды, используемые при администрировании системы и не предназначенные
для размещения в файловой системе root;
/usr/local – здесь рекомендуется размещать файлы, установленные без использования па-
кетных менеджеров, внутренняя организация каталогов практически такая же, как и корневого ка-
талога;
/usr/man – каталог, где хранятся файлы справочного руководства man;
206
/usr/share – каталог для размещения общедоступных файлов большей части приложений.
Каталог /var:
/var/log – место, где хранятся файлы аудита работы системы и приложений;
/var/spool – каталог для хранения файлов находящих в очереди на обработку для того или
иного процесса (очередь на печать, отправку почты и т. д.);
/tmp – временный каталог необходимый некоторым приложениям;
/proc – файловая система /proc является виртуальной и в действительности она не суще-
ствует на диске. Ядро создает еѐ в памяти компьютера. Система /proc предоставляет информа-
цию о системе.
9.1.5 Имена дисков и разделов
Все физические устройства компьютера отображаются в каталог /dev файловой системы
изделия (об этом – ниже). Диски (в том числе IDE/SATA/SCSI жѐсткие диски, USB-диски) имеют
имена:
/dev/sda – первый диск;
/dev/sdb – второй диск;
и т. д.
Диски обозначаются /dev/sdX, где X – a,b,c,d,e,... в порядке обнаружения системой.
Раздел диска обозначается числом после его имени. Например, /dev/sdb4 – четвертый раз-
дел второго диска.
9.1.6 Разделы, необходимые для работы ОС
Для работы ОС необходимо создать на жестком диске (дисках) по крайней мере два разде-
ла: корневой (то есть тот, который будет содержать каталог / ) и раздел подкачки (swap). Размер
последнего, как правило, составляет от однократной до двукратной величины оперативной памяти
компьютера. Если свободного места на диске много, то можно создать отдельные разделы для ка-
талогов /usr, /home, /var.
9.1.7 Команды
Далее приведены основные команды, использующиеся в ОС «Альт Рабочая станция»:
ar – создание и работа с библиотечными архивами;
at – формирование или удаление отложенного задания;
awk – язык обработки строковых шаблонов;
batch – планирование команд в очереди загрузки;
bc – строковый калькулятор;
chfn – управление информацией учетной записи (имя, описание);
207
chsh – управление выбором командного интерпретатора (по умолчанию – для учѐтной за-
писи);
cut – разбивка файла на секции, задаваемые контекстными разделителями;
df – вывод отчета об использовании дискового пространства;
dmesg – вывод содержимого системного буфера сообщений;
du – вычисление количества использованного пространства элементов ФС;
echo – вывод содержимого аргументов на стандартный вывод;
egrep – поиск в файлах содержимого согласно регулярным выражениям;
fgrep – поиск в файлах содержимого согласно фиксированным шаблонам;
file – определение типа файла;
find – поиск файла по различным признакам в иерархии каталогов;
gettext – получение строки интернационализации из каталогов перевода;
grep – вывод строки, содержащей шаблон поиска;
groupadd – создание новой учетной записи группы;
groupdel – удаление учетной записи группы;
groupmod – изменение учетной записи группы;
groups – вывод списка групп;
gunzip – распаковка файла;
gzip – упаковка файла;
hostname – вывод и задание имени хоста;
install – копирование файла с установкой атрибутов;
ipcrm – удаление ресурса IPC;
ipcs – вывод характеристик ресурса IPC;
kill – прекращение выполнения процесса;
killall – удаление процессов по имени;
lpr – система печати;
ls – вывод содержимого каталога;
lsb_release – вывод информации о дистрибутиве;
m4 – запуск макропроцессора;
md5sum – генерация и проверка MD5-сообщения;
mknod – создание файла специального типа;
mktemp – генерация уникального имени файла;
more – постраничный вывод содержимого файла;
mount – монтирование ФС;
208
msgfmt – создание объектного файла сообщений из файла сообщений;
newgrp – смена идентификатора группы;
nice – изменение приоритета процесса перед его запуском;
nohup – работа процесса после выхода из системы;
od – вывод содержимого файла в восьмеричном и других видах;
passwd – смена пароля учетной записи;
patch – применение файла описания изменений к оригинальному файлу;
pidof – вывод идентификатора процесса по его имени;
ps – вывод информации о процессах;
renice – изменение уровня приоритета процесса;
sed – строковый редактор;
sendmail – транспорт системы электронных сообщений;
sh – командный интерпретатор;
shutdown – команда останова системы;
su – изменение идентификатора запускаемого процесса;
sync – сброс системных буферов на носители;
tar – файловый архиватор;
umount – размонтирование ФС;
useradd – создание новой учетной записи или обновление существующей;
userdel – удаление учетной записи и соответствующих файлов окружения;
usermod – модификация информации об учетной записи;
w – список пользователей, кто в настоящий момент работает в системе и с какими файлами;
who – вывод списка пользователей системы.
Узнать об опциях команд можно с помощью команды man.
209
10 РАБОТА С НАИБОЛЕЕ ЧАСТО ИСПОЛЬЗУЕМЫМИ
КОМПОНЕНТАМИ
10.1 Командные оболочки (интерпретаторы)
Для управления ОС используется командные интерпретаторы (shell).
Зайдя в систему, можно увидеть приглашение – строку, содержащую символ «$» (далее,
этот символ будет обозначать командную строку). Программа ожидает ввода команд. Роль ко-
мандного интерпретатора – передавать команды пользователя операционной системе. При помо-
щи командных интерпретаторов можно писать небольшие программы – сценарии (скрипты). В
Linux доступны следующие командные оболочки:
bash – самая распространѐнная оболочка под linux. Она ведет историю команд и предостав-
ляет возможность их редактирования.
pdksh – клон korn shell, хорошо известной оболочки в UNIX(™) системах.
Оболочкой по умолчанию является «Bash» (Bourne Again Shell) Проверить, какая оболочка
используется можно, выполнив команду:
$ echo $SHELL
У каждой оболочки свой синтаксис. Все примеры в дальнейшем построены с использова-
нием оболочки Bash.
10.1.1 Командная оболочка Bash
В Bash имеется несколько приемов для работы со строкой команд. Например, используя
клавиатуру, можно:
<Ctrl> + <A> – перейти на начало строки;
<Ctrl> + <U> – удалить текущую строку;
<Ctrl> + <C> – остановить текущую задачу.
Для ввода нескольких команд одной строкой можно использовать разделитель «;». По ис-
тории команд можно перемещаться с помощью клавиш <↑> и <↓>. Чтобы найти конкретную ко-
манду в списке набранных, не пролистывая всю историю, необходимо набрать <Ctrl> + <R> и
начать вводить символы ранее введенной команды.
Для просмотра истории команд можно воспользоваться командой history. Команды, при-
сутствующие в истории, отображаются в списке пронумерованными. Чтобы запустить конкретную
команду необходимо набрать:
!номер команды
Если ввести:
!!
запустится последняя, из набранных команд.
210
В Bash имеется возможность самостоятельного завершения имен команд из общего списка
команд, что облегчает работу при вводе команд, в случае, если имена программ и команд слишком
длинны. При нажатии клавиши <Tab> Bash завершает имя команды, программы или каталога, ес-
ли не существует нескольких альтернативных вариантов. Например, чтобы использовать про-
грамму декомпрессии bunzip2, можно набрать следующую команду:
$ bu
Затем нажать <Tab>. Так как в данном случае существует несколько возможных вариантов
завершения команды, то необходимо повторно нажать клавишу <Tab>, чтобы получить список
имен, начинающихся с bu.
В предложенном примере можно получить следующий список:
$ bu
buildhash builtin bunzip2
Если набрать: n (bunzip – это единственное имя, третьей буквой которого является «n»), а
затем нажать клавишу <Tab>, то оболочка самостоятельно дополнит имя. Чтобы запустить коман-
ду нужно нажать <Enter>.
Программы, вызываемые из командной строки, Bash ищет в каталогах, определяемых в си-
стемной переменной PATH. По умолчанию в этот перечень каталогов не входит текущий каталог,
обозначаемый ./ (точка слеш) (если только не выбран один из двух самых слабых уровней защи-
ты). Поэтому, для запуска программы из текущего каталога, необходимо использовать команду (в
примере запускается команда prog):
./prog
10.1.2 Базовые команды оболочки Bash
Все команды, приведенные ниже, могут быть запущены в режиме консоли. Для получения
более подробной информации следует использовать команду man. Пример:
$ man ls
Учетные записи пользователей 10.1.2.1
Команда su
Команда su позволяет получить права администратора. При вводе команды su, будет за-
прошен пароль суперпользователя (root). И в случае ввода корректного пароля, оператор получит
привилегии суперпользователя. Чтобы вернуться к правам оператора, необходимо ввести команду:
# exit
Команда id
Команда id выводит информацию о пользователе и группах, в которых он состоит для
заданного пользователя или о текущем пользователе (если ничего не указано).
Синтаксис:
211
id [параметры] [ПОЛЬЗОВАТЕЛЬ]
Команда passwd
Команда passwd меняет (или устанавливает) пароль, связанный с входным_именем
пользователя.
Обычный пользователь может менять только пароль, связанный с его собственным
входным_именем.
Команда запрашивает у обычных пользователей старый пароль (если он был), а затем
дважды запрашивает новый. Новый пароль должен соответствовать техническим требованиям к
паролям, заданным администратором системы.
Основные операции с файлами и каталогами 10.1.2.2
Команда ls
Команда ls (list) выдает список файлов каталога.
Синтаксис:
ls [-CFRacdilqrtu1] [[-H] | [-L]] [-fgmnopsx] [файл...]
Основные опции:
-a – просмотр всех файлов, включая скрытые;
-l – отображение более подробной информации;
-R – выводить рекурсивно информацию о подкаталогах.
Команда cd
Команда cd предназначена для смены каталога. Команда работает как с абсолютными, так
и с относительными путями. Если каталог не указан, используется значение переменной
окружения HOME (домашний каталог пользователя). Если каталог задан полным маршрутным
именем, он становится текущим. По отношению к новому каталогу нужно иметь право на
выполнение, которое в данном случае трактуется как разрешение на поиск.
Синтаксис:
cd [-L|-P] [каталог]
Если в качестве аргумента задано -, то это эквивалентно $OLDPWD. Если переход был
осуществлен по переменной окружения CDPATH или в качестве аргумента был задан - и смена
каталога была успешной, то абсолютный путь нового рабочего каталога будет выведен на
стандартный вывод.
Пример. Находясь в домашнем каталоге перейти в его подкаталог docs/ (относительный
путь):
$ cd docs/
Сделать текущим каталог /usr/bin (абсолютный путь):
$ cd /usr/bin/
Сделать текущим родительский каталог:
212
$ cd ..
Вернуться в предыдущий каталог:
$ cd -
Сделать текущим домашний каталог:
$ cd
Команда pwd
Команда pwd выводит абсолютный путь текущего (рабочего) каталога.
Синтаксис:
pwd [-L|-P]
Опции:
-P – не выводить символические ссылки;
-L – выводить символические ссылки.
Команда rm
Команда rm используется для удаления файлов.
Синтаксис:
rm [-fiRr] имя_файла
Основные опции:
-f – не запрашивать подтверждения;
-i – запрашивать подтверждение;
-r, -R – рекурсивно удалять содержимое указанных каталогов.
Пример. Удалить все файлы html в каталоге ~/html:
$ rm -i ~/html/*.html
Команда mkdir
Команда mkdir позволяет создать каталог.
Синтаксис:
mkdir [-p] [-m права] [каталог...]
Команда rmdir
Команда rmdir удаляет записи, соответствующие указанным пустым каталогам.
Синтаксис:
rmdir [-p] [каталог...]
Команда rmdir часто заменяется командой rm -rf, которая позволяет удалять каталоги,
даже если они не пусты.
Команда cp
Команда cp предназначена для копирования файлов.
Синтаксис:
cp [-fip] [исх_файл] [цел_файл]
213
cp [-fip] [исх_файл...] [каталог]
cp [-R] [[-H] | [-L] | [-P]] [-fip] [исх_файл...] [каталог]
Основные опции:
-p – сохранять по возможности времена изменения и доступа к файлу, владельца и группу,
права доступа;
-i – запрашивать подтверждение перед копированием в существующие файлы;
-r, -R – рекурсивно копировать содержимое каталогов.
Команда mv
Команда mv предназначена для перемещения файлов.
Синтаксис:
mv [-fi] [исх_файл...] [цел_файл]
mv [-fi] [исх_файл...] [каталог]
В первой синтаксической форме, характеризующейся тем, что последний операнд не явля-
ется ни каталогом, ни символической ссылкой на каталог, mv перемещает исх_файл в цел_файл.
Во второй синтаксической форме mv перемещает исходные файлы в указанный каталог под
именами, совпадающими с краткими именами исходных файлов.
Основные опции:
-f – не запрашивать подтверждения перезаписи существующих файлов;
-i – запрашивать подтверждение перезаписи существующих файлов.
Команда cat
Команда cat последовательно выводит содержимое файлов.
Синтаксис:
cat [параметры] [файл...]
Основные опции:
-n, --number – нумеровать все строки при выводе;
-E, --show-ends – показывать $ в конце каждой строки.
Если файл не указан, читается стандартный ввод. Если в списке файлов присутствует имя -,
вместо этого файла читается стандартный ввод.
Команда less
Команда less позволяет постранично просматривать текст (для выхода необходимо
нажать <q>).
Синтаксис:
less имя_файла
Команда grep
Команда grep имеет много опций и предоставляет возможности поиска символьной стро-
ки в файле.
214
Синтаксис:
grep шаблон_поиска файл
Команда chmod
Команда chmod изменяет права доступа к файлу.
Синтаксис:
chmod ОПЦИЯ]... РЕЖИМ[,РЕЖИМ]... [Файл...]
chmod ОПЦИЯ]... --reference=ИФАЙЛ ФАЙЛ...
Основные опции:
-R – рекурсивно изменять режим доступа к файлам, расположенным в указанных каталогах;
--reference=ИФАЙЛ – использовать режим файла ИФАЙЛ.
Команда chmod изменяет права доступа каждого указанного файла в соответствии с пра-
вами доступа, указанными в параметре режим, который может быть представлен как в символь-
ном виде, так и в виде восьмеричного, представляющего битовую маску новых прав доступа.
Формат символьного режима следующий:
[ugoa...][[+-=][разрешения...]...]
Здесь разрешения – это ноль или более букв из набора «rwxXst» или одна из букв из набора
«ugo».
Каждый аргумент – это список символьных команд изменения прав доступа, разделены за-
пятыми. Каждая такая команда начинается с нуля или более букв «ugoa», комбинация которых
указывает, чьи права доступа к файлу будут изменены: пользователя, владеющего файлом (u),
пользователей, входящих в группу, к которой принадлежит файл (g), остальных пользователей (o)
или всех пользователей (a). Если не задана ни одна буква, то автоматически будет использована
буква «a», но биты, установленные в umask, не будут затронуты.
Оператор «+» добавляет выбранные права доступа к уже имеющимся у каждого файла, «-»
удаляет эти права, «=» присваивает только эти права каждому указанному файлу.
Буквы «rwxXst» задают биты доступа для пользователей: «r» – чтение, «w» – запись, «x» –
выполнение (или поиск для каталогов), «X» – выполнение/поиск, только если это каталог или же
файл с уже установленным битом выполнения, «s» – задать ID пользователя и группы при выпол-
нении, «t» – запрет удаления.
Примеры. Позволить всем выполнять файл f2:
$ chmod +x f2
Запретить удаление файла f3:
$ chmod+t f3
Команда chown
Команда chown изменяет владельца и/или группу для каждого заданного файла.
Синтаксис:
215
chown [КЛЮЧ]…[ВЛАДЕЛЕЦ][:[ГРУППА]] ФАЙЛ ...
Изменить владельца может только владелец файла или суперпользователь. Владелец не из-
меняется, если он не задан в аргументе. Группа также не изменяется, если не задана, но если после
символьного ВЛАДЕЛЬЦА стоит символ «:», подразумевается изменение группы на основную
группу текущего пользователя. Поля ВЛАДЕЛЕЦ и ГРУППА могут быть как числовыми, так и
символьными.
Примеры. Поменять владельца /u на пользователя test:
$ chown test /u
Поменять владельца и группу /u:
$ chown test:staff /u
Поменять владельца /u и вложенных файлов на test:
$ chown -hR test /u
Поиск файлов 10.1.2.3
Команда find
Команда find предназначена для поиска всех файлов, начиная с корневого каталога. По-
иск может осуществляться по имени, типу или владельцу файла.
Синтаксис:
find [-H] [-L] [-P] [-Oуровень] [-D
help|tree|search|stat|rates|opt|exec] [путь…] [выражение]
Ключи для поиска:
-name – поиск по имени файла;
-type – поиск по типу f=файл, d=каталог, l=ссылка(lnk);
-user – поиск по владельцу (имя или UID).
Когда выполняется команда find, можно выполнять различные действия над найденными
файлами. Основные действия:
-exec команда \; – выполнить команду. Запись команды должна заканчиваться экраниро-
ванной точкой с запятой. Строка «{}» заменяется текущим маршрутным именем файла;
-execdir команда \; – то же самое что и exec, но команда вызывается из подкаталога, содер-
жащего текущий файл;
-ok команда – эквивалентно -exec за исключением того, что перед выполнением команды
запрашивается подтверждение (в виде сгенерированной командной строки со знаком вопроса в
конце) и она выполняется только при ответе: y;
-print – вывод имени файла на экран.
Путем по умолчанию является текущий подкаталог. Выражение по умолчанию -print.
216
Примеры. Найти в текущем каталоге обычные файлы (не каталоги), имя которых начинает-
ся с символа «~»:
$ find . -type f -name "~*" -print
Найти в текущем каталоге файлы, измененные позже, чем файл file.bak:
$ find . -newer file.bak -type f -print
Удалить все файлы с именами a.out или *.o, доступ к которым не производился в течение
недели:
$ find / \( -name a.out -o -name '*.o' \) \ -atime +7 -exec rm {} \;
Удалить из текущего каталога и его подкаталогов все файлы нулевого размера, запрашивая
подтверждение:
$ find . -size 0c -ok rm {} \;
Команда whereis
Команда whereis сообщает путь к исполняемому файлу программы, ее исходным файлам
(если есть) и соответствующим страницам справочного руководства.
Синтаксис:
whereis [options] <name>
Опции:
-b – вывод информации только об исполняемых файлах;
-m – вывод информации только о страницах справочного руководства;
-s – вывод информации только об исходных файлах.
Мониторинг и управление процессами 10.1.2.4
Команда ps
Команда ps отображает список текущих процессов.
Синтаксис:
ps [-aA] [-defl] [-G список] [-o формат...] [-p список] [-t список] [-
U список] [-g список] [-n список] [-u список]
По умолчанию выводится информация о процессах с теми же действующим UID и управ-
ляющим терминалом, что и у подающего команду пользователя.
Основные опции:
-a – вывести информацию о процессах, ассоциированных с терминалами;
-f – вывести «полный» список;
-l – вывести «длинный» список;
-p список – вывести информацию о процессах с перечисленными в списке PID;
-u список – вывести информацию о процессах с перечисленными идентификаторами или
именами пользователей.
217
Команда kill
Команда kill позволяет прекратить исполнение процесса или передать ему сигнал.
Синтаксис:
kill [-s] [сигнал] [идентификатор] [...]
kill [-l] [статус_завершения]
kill [-номер_сигнала] [идентификатор] [...]
Идентификатор – PID ведущего процесса задания или номер задания, предварѐнный знаком
«%».
Основные опции:
-l – вывести список поддерживаемых сигналов;
-s сигнал, -сигнал – послать сигнал с указанным именем.
Если обычная команда kill не дает желательного эффекта, необходимо использовать коман-
ду kill с параметром -9:
$ kill -9 PID_номер
Команда df
Команда df показывает количество доступного дискового пространства в файловой систе-
ме, в которой содержится файл, переданный как аргумент. Если ни один файл не указан, показы-
вается доступное место на всех смонтированных файловых системах. Размеры по умолчанию ука-
заны в блоках по 1КБ по умолчанию.
Синтаксис:
df [опция]... [файл]...
Основные опции:
-total – подсчитать общий объем в конце;
-h, --human-readable – печатать размеры в удобочитаемом формате (например, 1K 234M
2G);
-h, --human-readable – печатать размеры в удобочитаемом формате (например, 1K 234M
2G).
Команда du
Команда du подсчитывает использование диска каждым файлом, для каталогов подсчет
происходит рекурсивно.
Синтаксис:
du [опции][файл...]
Основные опции:
-a, --all – выводить общую сумму для каждого заданного файла, а не только для каталогов;
-c, --total – подсчитать общий объем в конце. Может быть использовано для выяснения
суммарного использования дискового пространства для всего списка заданных файлов;
218
-d, --max-depth=N – выводить объем для каталога (или файлов, если указано --all) только
если она на N или менее уровней ниже аргументов командной строки;
-S, --separate-dirs – выдавать отдельно размер каждого каталога, не включая размеры подка-
талогов;
-s, --summarize – отобразить только сумму для каждого аргумента.
Команда which
Команда which – отображает полный путь к указанным командам или сценариям.
Синтаксис:
which [опции] [--] имя_программы [...]
Основные опции:
-a, --all – выводит все совпавшие исполняемые файлы по содержимому в переменной окру-
жения PATH, а не только первый из них;
-c, --total – подсчитать общий объем в конце. Может быть использовано для выяснения
суммарного использования дискового пространства для всего списка заданных файлов;
-d, --max-depth=N – выводить объем для каталога (или файлов, если указано --all) только
если она на N или менее уровней ниже аргументов командной строки;
-S, --separate-dirs – выдавать отдельно размер каждого каталога, не включая размеры подка-
талогов;
--skip-dot – пропускает все каталоги из переменной окружения PATH, которые начинаются
с точки.
Использование многозадачности 10.1.2.5
ОС «Альт Рабочая станция» – многозадачная система.
Для того чтобы запустить программу в фоновом режиме необходимо набрать «&» после
имени программы. После этого оболочка дает возможность запускать другие приложения.
Так как некоторые программы интерактивны – их запуск в фоновом режиме бессмысленен.
Подобные программы просто остановятся, если их запустить в фоновом режиме.
Можно также запускать нескольких независимых сеансов. Для этого в консоли необходимо
набрать <Alt> и одну из клавиш, находящихся в интервале от <F1> до <F6>. На экране появится
новое приглашение системы, и можно открыть новый сеанс.
Команда bg
Команда bg используется для того, чтобы перевести задание на задний план.
Синтаксис:
bg [идентификатор ...]
Идентификатор – PID ведущего процесса задания или номер задания, предварѐнный знаком
«%».
Команда fg
219
Команда fg позволяет перевести задание на передний план.
Синтаксис:
fg [идентификатор ...]
Идентификатор – PID ведущего процесса задания или номер задания, предварѐнный знаком
«%».
Сжатие и упаковка файлов 10.1.2.6
Команда tar
Сжатие и упаковка файлов выполняется с помощью команды tar, которая преобразует
файл или группу файлов в архив без сжатия (tarfile).
Упаковка файлов в архив чаще всего выполняется следующей командой:
$ tar -cf [имя создаваемого файла архива] [упаковываемые файлы и/или
каталоги]
Пример использования команды упаковки архива:
$ tar -cf moi_dokumenti.tar Docs project.tex
Распаковка содержимого архива в текущий каталог выполняется командой:
$ tar -xf [имя файла архива]
Для сжатия файлов используются специальные программы сжатия: gzip, bzip2 и 7z.
10.2 Стыкование команд в системе
10.2.1 Стандартный ввод и стандартный вывод
Многие команды системы имеют так называемые стандартный ввод (standard input) и стан-
дартный вывод (standard output), часто сокращаемые до stdin и stdout. Ввод и вывод здесь –
это входная и выходная информация для данной команды. Программная оболочка делает так, что
стандартным вводом является клавиатура, а стандартным выводом – экран монитора.
Пример с использованием команды cat. По умолчанию команда cat читает данные из всех
файлов, которые указаны в командной строке, и посылает эту информацию непосредственно в
стандартный вывод (stdout). Следовательно, команда:
$ cat history-final masters-thesis
выведет на экран сначала содержимое файла history-final, а затем – файла masters-
thesis.
Если имя файла не указано, программа cat читает входные данные из stdin и возвращает
их в stdout. Пример:
$ cat
Hello there.
Hello there.
220
Bye.
Bye.
<Ctrl>-<D>
Каждую строку, вводимую с клавиатуры, программа cat немедленно возвращает на экран.
При вводе информации со стандартного ввода конец текста сигнализируется вводом специальной
комбинации клавиш, как правило, <Ctrl>-<D>. Сокращѐнное название сигнала конца текста – EOT
(end of text).
10.2.2 Перенаправление ввода и вывода
При необходимости можно перенаправить стандартный вывод, используя символ > и стан-
дартный ввод, используя символ <.
Фильтр (filter) – программа, которая читает данные из стандартного ввода, некоторым обра-
зом их обрабатывает и результат направляет на стандартный вывод. Когда применяется перена-
правление, в качестве стандартного ввода и вывода могут выступать файлы. Как указывалось вы-
ше, по умолчанию, stdin и stdout относятся к клавиатуре и к экрану соответственно. Про-
грамма sort является простым фильтром – она сортирует входные данные и посылает результат на
стандартный вывод. Совсем простым фильтром является программа cat – она ничего не делает с
входными данными, а просто пересылает их на выход.
10.2.3 Использование состыкованных команд
Стыковку команд (pipelines) осуществляет командная оболочка, которая stdout первой ко-
манды направляет на stdin второй команды. Для стыковки используется символ |. Направить stdout
команды ls на stdin команды sort:
$ ls | sort -r
notes
masters-thesis
history-final
english-list
Вывод списка файлов частями:
$ ls /usr/bin | more
Пример стыкования нескольких команд. Команда head – является фильтром следующего
свойства: она выводит первые строки из входного потока (в примере на вход будет подан выход от
нескольких состыкованных команд). Если необходимо вывести на экран последнее по алфавиту
имя файла в текущем каталоге, можно использовать следующую команду:
$ ls | sort -r | head -1 notes
221
где команда head -1 выводит на экран первую строку получаемого ей входного потока
строк (в примере поток состоит из данных от команды ls), отсортированных в обратном алфавит-
ном порядке.
10.2.4 Не деструктивное перенаправление вывода
Эффект от использования символа > для перенаправления вывода файла является деструк-
тивным; то есть, команда
$ ls > file-list
уничтожит содержимое файла file-list, если этот файл ранее существовал, и создаст на
его месте новый файл. Если вместо этого перенаправление будет сделано с помощью символов >>,
то вывод будет приписан в конец указанного файла, при этом исходное содержимое файла не бу-
дет уничтожено.
П р и м е ч а н и е . Перенаправление ввода и вывода и стыкование команд осуществляется
командными оболочками, которые поддерживают использование символов >, >> и |. Сами коман-
ды не способны воспринимать и интерпретировать эти символы.
222
11 ОБЩИЕ ПРАВИЛА ЭКСПЛУАТАЦИИ
11.1 Включение компьютера
Для включения компьютера необходимо:
включить стабилизатор напряжения, если компьютер подключен через стабилизатор
напряжения;
включить принтер, если он нужен;
включить монитор компьютера, если он не подключен к системному блоку кабелем пита-
ния;
включить компьютер (переключателем на корпусе компьютера либо клавишей с клавиату-
ры).
После этого на экране компьютера появятся сообщения о ходе работы программ проверки и
начальной загрузки компьютера.
11.2 Выключение компьютера
Для выключения компьютера надо:
закончить работающие программы;
выбрать функцию завершения работы и выключения компьютера, после чего ОС самостоя-
тельно выключит компьютер, имеющий системный блок формата ATX;
выключить компьютер (переключателем на корпусе AT системного блока);
выключить принтер;
выключить монитор компьютера (если питание монитора не от системного блока);
выключить стабилизатор, если компьютер подключен через стабилизатор напряжения.
